Port u polju adrese Windows VPN-a radi samo sa SSTP-om

VPN server odgovara na TCP 10443, ugrađeni Windows klijent ima ispravne akreditive, a veza ipak pada posle pauze koja liči na DNS tajmaut. Uzrok je obično polje adrese: upisivanje vpn.example.com:10443 u Naziv servera ili adresa navodi Windows da ceo niz pročita kao ime hosta, jer to polje nije opšti host:port unos. Da li se port tamo uopšte može izraziti zavisi od tipa tunela koji profil koristi, a samo jedan od četiri tipa tretira vrednost kao nešto što može da parsira.

Zašto polje adrese nije polje host:port

Svojstvo profila iza tog polja je ServerAddress i svaki tip tunela odlučuje šta radi sa nizom. Tri od njih nemaju parametar porta koji bi popunili, pa su dvotačka i broj samo znakovi u imenu koje se nikada neće razrešiti. Četvrti ide preko HTTPS-a, gde je port deo URL-a, pa vrednost mora biti napisana u obliku koji se parsira kao URL.

Zato kvar izgleda kao razrešavanje imena, a ne kao odbijena veza. Nema lošeg porta za prijavu, samo ime hosta koje ne postoji, a greška stiže nakon što resolver odustane. Pre nego što dirnete server, proverite koji tip tunela profil tvrdi da koristi.

Tri tipa sa fiksnim portom

PPTP se povezuje na TCP 1723, a zatim nosi tunel u GRE-u, IP protokolu 47. L2TP/IPsec koristi UDP 1701 za tunel i UDP 500 plus 4500 za IPsec, pri čemu je 4500 NAT-traversal port. IKEv2 takođe koristi UDP 500 i 4500. Nijedan od tih profila nigde u interfejsu ne izlaže polje porta i nijedan neće pregovarati nestandardni port.

Server koji sluša na prilagođenom portu zato je nedostupan tim profilima bez obzira na to kako je adresa napisana. Praktični odgovori su uski: objavite standardni port na serveru ili prevedite standardni port u prilagođeni na ruteru ispred njega. Oba čuvaju klijentski profil netaknutim, što mnogo vredi kada se profil raspoređuje pravilnikom, a ne upisuje ručno.

SSTP-u treba URL, a ne ime

SSTP je izuzetak jer radi unutar TLS sesije. Polje mora da se parsira kao URL: prvo šema https://, zatim host, pa dvotačka i port. Bez šeme Windows nastavlja da tretira vrednost kao obično ime i veza pada pre bilo kakve TLS razmene.

Razlog zašto to iznenađuje jeste to što standardni port prihvata golo ime hosta. Profil koji nikada nije trebao prilagođeni port nikada ne nauči pravilo, a prva osoba koja ga doda otkrije ga tako što ne uspe. Nakon čuvanja pročitajte sačuvanu vrednost umesto da verujete dijalogu:

Get-VpnConnection -Name "Corporate SSTP" | Select-Object Name, ServerAddress, TunnelType

ServerAddress pokazuje tačno ono što je sačuvano. Ako se čita kao golo ime hosta sa dvotačkom u sebi, profil nikada nije dobio URL i nikakvo ponavljanje to neće popraviti.

Sintaksa dobavljača koja se lepi u isto polje

Neki gatewayi dokumentuju dodatne konvencije za to polje, kao što je realm dodat nakon porta ili parametri upita koji menjaju rukovanje sertifikatom. Oni su razumljivi tom serveru dobavljača i, u nekim buildovima, njegovom sopstvenom klijentu. Nisu deo Windows formata profila, a lepljenje u ugrađeni profil obično proizvodi isti tihi kvar imena.

Parametar koji isključuje proveru sertifikata tretirajte kao upozorenje, a ne kao popravku. Ako se profil povezuje samo s tim parametrom, sertifikat se ne poklapa s imenom koje se koristi, a ispravna popravka je na gatewayu, ne u klijentu. Realm nakon porta ima isto svojstvo: deluje samo ako ga server s druge strane očekuje.

Dokažite port, pa pročitajte fazu koja pada

Potvrdite da nešto prihvata TCP na tom portu iz mreže klijenta pre nego što okrivite profil:

Test-NetConnection vpn.example.com -Port 10443

Uspeh dokazuje slušaoca, ne SSTP. Web server, obrnuti proxy ili balanser opterećenja mogu da završe TCP rukovanje i dalje ne govore SSTP, pa je zeleni test sa crvenim VPN-om stvarna kombinacija. Uporedite subjekt sertifikata s imenom u profilu i proverite RasClient dnevnik u buildovima koji ga isporučuju, jer beleži fazu koja je pala umesto generičkog tajmauta.

Zatim razmotrite opciju koja uklanja problem umesto da ga dokumentuje: prosledite TCP 443 spolja na 10443 na VPN serveru. Klijent tada koristi standardni profil bez ikakvog porta, što je obično najčistiji raspored za upravljanu flotu i ostavlja prilagođeni port kao interni detalj.