Windows NAT-T vrijednost u registru: prvo provjerite topologiju

Windows VPN veza ne uspijeva, pretraga vraća vrijednost iz registra i ta se vrijednost upisuje uz ponovno pokretanje. Taj slijed ponekad djeluje i nikada ništa ne objašnjava. Postavka o kojoj je riječ odgovara na jedno pitanje — gdje se poslužitelj nalazi u odnosu na NAT uređaj — i besmislena je dok ne znate koji je protokol zakazao i u kojoj fazi.

Šta vrijednost zapravo odabire

AssumeUDPEncapsulationContextOnSendRule određuje hoće li Windows IPsec implementacija pokušati uspostaviti asocijacije s partnerom iza NAT uređaja. Dokumentirana zadana vrijednost 0 ne dopušta taj slučaj, 1 ga dopušta kada je poslužitelj strana iza NAT-a, a 2 pokriva slučaj kada se prevode oba kraja. To su tvrdnje o topologiji — ko je gdje.

Čitani kao slijed, brojevi opisuju sve više prevođenja, a ne sve više pouzdanosti. Postavljanje 2 na mreži na kojoj se ništa ne prevodi ne čini vezu bržom ni stabilnijom i ne popravlja neuspjeh autentifikacije. Microsoftovo L2TP/IPsec NAT uputstvo dokumentira politiku i njezin povijesni kontekst platforme. Provjerite taj kontekst prema verziji i ulozi Windowsa koje stvarno koristite, jer dokument koji je preživio nekoliko izdanja nije tvrdnja o svakoj trenutačnoj gradnji.

Uskladite topologiju prije broja

Nacrtajte put i označite točke prevođenja: je li klijent iza kućnog usmjerivača, je li poslužitelj iza balansera opterećenja ili vatrozida koji prepisuje adrese i nalazi li se koji kraj iza operatorova prevođenja koje ne kontrolirate. Tek nakon tog crteža možete odlučiti primjenjuje li se vrijednost i na koji kraj.

Tvrdnja da trenutačne verzije Windows Servera jednostavno dolaze s isključenim NAT traversalom preširoka je za djelovanje. Važni su politika na vašem sustavu, topologija ispred njega i razmjena koja je zakazala, tim redom. Ako oba kraja imaju javne adrese, postavka nije vaš problem. Umjesto toga pogledajte ponudu, certifikat ili račun i ostavite registar na miru.

Prvo provjerite fazu neuspjeha

L2TP/IPsec proizvodi najmanje tri različita neuspjeha: partner nije dostupan, IPsec zaštita se ne može uspostaviti i PPP autentifikacija korisnika se odbija nakon što tunel postoji. Odbijen račun ne može se popraviti promjenom NAT politike, a nesklad ponuda ne može se popraviti ponovnim pokretanjem.

Get-VpnConnection -Name "Corp L2TP" | Format-List Name, ServerAddress, TunnelType, EncryptionLevel
Get-WinEvent -LogName System -MaxEvents 40 | Where-Object Id -in 20227,20226,20274
netsh interface ipv4 show interfaces

Istek vremena bez odgovora upućuje na dostupnost ili filtriranje, a ne na politiku. Brzo odbijanje s porukom o ponudi upućuje na algoritme. Neuspjeh nakon uspostave tunela pripada fazi autentifikacije, što je drugi vlasnik i drugi popravak.

SSTP preko HTTPS-a i izvorni IKEv2 imaju vlastite zapise i vlastite kontrole. Ništa od toga ne postaje slučaj NAT traversal samo zato što i oni rade na Windowsu.

Napravite promjenu s putem natrag

Ako dokumentirana politika i promatrana topologija zajedno to zahtijevaju, zabilježite prethodnu vrijednost, primijenite promjenu kroz upravljanu konfiguraciju, a ne skriptom po profilu, i isplanirajte ponovno pokretanje. Na poslužitelju koji podržava druge radne skupove to nije bezazlena izmjena.

NAT uređaj i dalje mora prenositi kapsulirani promet i povratni promet. Vrijednost u registru ne stvara pravilo prosljeđivanja, ne usklađuje ponude i ne provjerava identitet, pa veza koja proradi nakon promjene može raditi iz posve drugog razloga. Ponovno testirajte izvorni protokol s izvornom topologijom, zatim zapišite koja je faza zakazala i zašto se očekivalo da će vrijednost to riješiti. Ta rečenica pretvara internetsku glasinu u konfiguraciju koju možete braniti.