FortiClient zapinje na 98 %: isključite IPv6 na tom adapteru

Traka stigne do 98 %, klijent stoji tu, a ponovno upisivanje lozinke ništa ne menja. To je koristan trag: klijent je već prihvatio sertifikat pristupnika, poslao akreditive i primio konfiguraciju tunela. Ono što ostaje jeste podizanje virtuelnog adaptera i potvrđivanje da tunel prenosi saobraćaj. Kada se taj poslednji korak nikada ne dovrši, kvar je lokalni i nikakvo ponovno upisivanje akreditiva ga ne doseže.

Četiri koraka, a prvi je čitanje zapisa, a ne trake.

Šta brojač od 98 % zapravo prijavljuje

Procenat je klijentov sopstveni brojač faza, a ne mera propusnosti. Zastoj na istom broju pri svakom pokušaju znači da klijent dosegne određeni korak i čeka; zato spora veza i zaglavljeni klijent u zapisu izgledaju različito. Problem sa akreditivima ispisao bi grešku akreditiva umesto tihe stanke.

Fortinet je ovaj simptom dokumentovao uz jedan uzrok na strani klijenta: omogućen IPv6 na adapteru koji klijent koristi. Zato je podešavanje adaptera prva stvar koju treba isprobati, a ne univerzalno objašnjenje za svaki SSL-VPN zastoj.

Korak 1: pročitajte zapis pre trake

Pre nego što bilo šta promenite, zabeležite redove neposredno pre zastoja. Tražite da li je tunelski adapter stvoren, da li je dodeljena adresa i da li je klijent odustao od čekanja na familiju adresa. Zastoj na drugom procentu je druga faza sa sopstvenom dijagnozom, a upozorenje o sertifikatu ili pogrešna adresa pristupnika daje sopstvenu poruku umesto tihog čekanja. Zapišite vremensku oznaku jer sledeći pokušaj dodaje još jedan blok u istu datoteku.

Ako zapis pokazuje dovršenu prijavu nakon koje sledi ništa, nalazite se u lokalnom podešavanju i adapter je legitiman osumnjičeni.

Korak 2: ograničite promenu IPv6 na jedan adapter

Promena pripada adapteru, a ne mašini. U svojstvima adaptera u Windowsu to znači uklanjanje Internet Protocol Version 6 (TCP/IPv6) na određenom interfejsu, a iz ljuske to je Disable-NetAdapterBinding -Name "Ethernet 2" -ComponentID ms_tcpip6. Potvrdite stanje sa Get-NetAdapterBinding -ComponentID ms_tcpip6 pre ponovnog povezivanja. Zatim se ponovo povežite i gledajte da li traka prolazi 98 % umesto da se zaustavi na njemu.

Prvo ograničite obim, zatim isprobajte. Globalno isključivanje IPv6 je veća promena nego što pitanje zahteva i utiče na usluge koje niste nameravali da dirate.

Korak 3: proverite šta je zastoj skrivao

Tunel koji se povezuje nije tunel koji radi. Proverite adresu koju je klijent dodelio, rute koje je profil instalirao i razrešavanje imena za jedan interni host: Resolve-DnsName files.corp.example. Klijent koji se poveže i ništa ne razreši ima problem sa DNS-om, a to je lako pogrešno pročitati kao povratak istog kvara.

Isprobajte jedan interni resurs po imenu i jedno javno odredište da se pokvareni split tunel ne zameni za popravljeni klijent.

Korak 4: učinite popravku ponovljivom

Ako podešavanje mora da dođe do cele flote, stavite ga u paket za implementaciju ili u konfiguraciju adaptera, a ne u ručni korak koji se ponavlja na svakom prenosnom računaru. Zabeležite u tiketu da je zastoj na 98 % bio povezan sa IPv6 na mrežnom interfejsu i zabeležite šta je još na hostu zavisilo od IPv6 pre nego što ga neko ponovo omogući da popravi nešto nepovezano.

Popravka koja postoji samo u sećanju jednog inženjera popravka je koja se vraća sledećeg kvartala.

Ako se traka i dalje zaustavlja na 98 % sa isključenim IPv6, dobavljačeva beleška to više ne objašnjava i zapis je vaš sledeći dokaz. Prestanite da lečite simptom i vratite se brojaču faza.