FortiClient zamrzne na 98 %: vypnite IPv6 na danom adaptéri

Ukazovateľ sa dostane na 98 %, klient tam zostane stáť a prepísanie hesla nič nezmení. To je užitočná stopa: klient už prijal certifikát brány, odoslal prihlasovacie údaje a dostal konfiguráciu tunela. Zostáva zdvihnúť virtuálny adaptér a potvrdiť, že tunel prenáša prevádzku. Keď sa tento posledný krok nikdy nedokončí, porucha je lokálna a žiadne prepisovanie údajov sa k nej nedostane.

Štyri kroky a prvý z nich je čítanie protokolu, nie ukazovateľa.

Čo počítadlo 98 % vlastne hlási

Percento je vlastné počítadlo fáz klienta, nie miera priepustnosti. Zaseknutie na rovnakom čísle pri každom pokuse znamená, že klient dosiahne určitý krok a čaká; preto pomalé pripojenie a zaseknutý klient vyzerajú v protokole inak. Problém s prihlasovacími údajmi by vypísal chybu údajov namiesto tichého pozastavenia.

Fortinet zdokumentoval tento príznak pri jednej príčine na strane klienta: zapnutá IPv6 na adaptéri, ktorý klient používa. To robí z nastavenia adaptéra prvú vec na vyskúšanie, nie univerzálne vysvetlenie každého SSL-VPN zaseknutia.

Krok 1: čítajte protokol skôr než ukazovateľ

Skôr než čokoľvek zmeníte, zachyťte riadky tesne pred zaseknutím. Hľadáte, či bol vytvorený tunelový adaptér, či bola pridelená adresa a či klient prestal čakať na rodinu adries. Zaseknutie na inom percente je iná fáza s vlastnou diagnostikou a upozornenie na certifikát alebo nesprávna adresa brány vydá vlastnú správu namiesto tichého čakania. Zapíšte si časovú značku, pretože ďalší pokus pridá do toho istého súboru ďalší blok.

Ak protokol ukazuje dokončené prihlásenie a po ňom nič, ste v lokálnom nastavení a adaptér je legitímny podozrivý.

Krok 2: obmedzte zmenu IPv6 na jeden adaptér

Zmena patrí adaptéru, nie počítaču. Vo vlastnostiach adaptéra Windows to znamená odškrtnúť Internet Protocol Version 6 (TCP/IPv6) na konkrétnom rozhraní a z príkazového shellu je to Disable-NetAdapterBinding -Name "Ethernet 2" -ComponentID ms_tcpip6. Stav overte pomocou Get-NetAdapterBinding -ComponentID ms_tcpip6 pred opätovným pripojením. Potom sa znova pripojte a sledujte, či ukazovateľ prejde cez 98 %, namiesto toho, aby sa na ňom zastavil.

Najprv vymedzte rozsah, potom testujte. Globálne vypnutie IPv6 je väčšia zmena, než otázka vyžaduje, a ovplyvní služby, ktoré ste nechceli zasiahnuť.

Krok 3: overte, čo zaseknutie skrývalo

Tunel, ktorý sa pripojí, nie je tunel, ktorý funguje. Skontrolujte adresu, ktorú klient pridelil, trasy, ktoré profil nainštaloval, a preklad názvov pre jeden interný host: Resolve-DnsName files.corp.example. Klient, ktorý sa pripojí a nič nepreloží, má problém s DNS, a to sa ľahko chybne prečíta ako návrat tej istej poruchy.

Otestujte jeden interný prostriedok podľa názvu a jeden verejný cieľ, aby si rozbitý split tunel nespletli s opraveným klientom.

Krok 4: urobte opravu opakovateľnou

Ak sa nastavenie musí dostať do celej flotily, dajte ho do inštalačného balíka alebo do konfigurácie adaptéra, nie do ručného kroku opakovaného na každom notebooku. Do tiketu zapíšte, že zaseknutie na 98 % súviselo s IPv6 na sieťovom rozhraní, a poznamenajte, čo ďalšie na hostiteľovi záviselo od IPv6, kým ho niekto znova nezapne, aby opravil niečo nesúvisiace.

Oprava, ktorá existuje len v pamäti jedného inžiniera, je oprava, ktorá sa budúci štvrťrok vráti.

Ak sa ukazovateľ aj s vypnutou IPv6 stále zastavuje na 98 %, poznámka výrobcu to už nevysvetľuje a protokol je váš ďalší dôkaz. Prestaňte liečiť príznak a vráťte sa k počítadlu fáz.