Klienti VPN v RRAS potrebujú vlastnú statickú skupinu IPv4 a cestu späť

Klient VPN sa pripojí a dostane adresu, ale hostiteľ v LAN, ktorého potrebuje, mu stále nedokáže odpovedať. V Windows Routing and Remote Access pochádza vnútorná adresa klientov VPN zo skupiny nakonfigurovanej oddelene od sieťového adaptéra servera a strana LAN potrebuje trasu späť do tejto skupiny. Dve zmeny, nie jedna, a zlyhávajú rôznymi spôsobmi. Prejdite ich po poradí, aby bola schéma adries a spätná cesta preukázaná skôr, než sa staré rozsahy vyradia.

Rezervujte rozsah pred otvorením konzoly

Vyberte prefix, ktorý sa neprekrýva s LAN, inými rozsahmi VPN ani s ničím, čo sa smeruje do lokality. /24 je pre test vhodná veľkosť a prvú použiteľnú časť možno odovzdať klientom, zatiaľ čo zvyšok zostane voľný pre rast. Zapíšte ho s účelom a vlastníkom, skôr než ho zadáte do konzoly. Ponechajte miesto na oboch koncoch bloku, aby neskoršie rozdelenie nevynútilo prečíslovanie.

Schéma adries, ktorá žije iba v konzole, je jednu prestavbu od kolízie. Má tiež tendenciu rásť: niekto neskôr pridá druhý rozsah a nikto neoverí prvý. Uchovávajte schému vedľa dokumentácie servera, nie vo vlákne chatu.

Sieťový adaptér servera tento fond nedefinuje. Zmena verejného poslucháča alebo pridanie adaptéra do LAN robí niečo úplne iné. Preto sa klienti môžu pripojiť a napriek tomu dostať adresu z nesprávneho miesta. Fond žije vo vlastnostiach IPv4 servera, nie v zozname adaptérov.

Zmena metódy nie je pridanie rozsahu

RRAS má metódu prideľovania a súbor rozsahov. Prechod z DHCP na statickú skupinu je zmena metódy. Pridanie ďalšieho bloku, keď je statická skupina už aktívna, je zmena rozsahu.

Prezrite si obe operácie pred spustením ktorejkoľvek a prečítajte si, ktorá zodpovedá aktuálnemu stavu servera:

Set-VpnIPAddressAssignment -IPAssignmentMethod StaticPool -IPAddressRange '10.250.50.10','10.250.50.100' -WhatIf
Add-VpnIPAddressRange -IPAddressRange '10.250.50.110','10.250.50.150' -WhatIf

Druhý cmdlet zlyhá alebo vytvorí nepoužiteľnú skupinu, ak server ešte používa prideľovanie DHCP. Prvý nahrádza metódu namiesto rozšírenia existujúcej skupiny. Žiadny náhľad nič neaplikuje, preto spustite ten, ktorý zodpovedá, a potom výslednú skupinu potvrďte v konzole. Ak si nie ste istí, v akom stave je server, prečítajte metódu prideľovania na stránke vlastností IPv4 a vypíšte nakonfigurované rozsahy:

Get-VpnIPAddressRange

Metóda DHCP s prázdnym zoznamom rozsahov znamená, že platí prvý náhľad. Statická skupina adries s existujúcim rozsahom znamená, že platí druhý.

Počítajte s reštartom služby, ktorý nastavenie môže vyžadovať, a nepredpokladajte, že pripojení klienti budú hneď prečíslovaní. Klient, ktorý si drží starú adresu, kým sa znova nepripojí, sa správa normálne. Naplánujte zmenu na okno, v ktorom je opätovné pripojenie prijateľné.

LAN potrebuje cestu späť

Predpokladajme, že LAN je 10.60.0.0/24 a server RRAS je v nej 10.60.0.10. Hostiteľ v tejto LAN, ktorý odpovedá klientovi v 10.250.50.0/24, potrebuje cestu do skupiny cez server RRAS. Bez tejto cesty požiadavka dorazí a odpoveď zomrie.

Ak je predvolená brána hostiteľa iný router, tento router potrebuje spätnú trasu pre prefix VPN. Statická trasa na serveri RRAS tu nepomôže; spätná cesta musí existovať na zariadení, ktoré vlastní bránu LAN, preto ju pridajte do smerovacej tabuľky alebo do procesu dynamického smerovania, podľa toho, čo lokalita používa.

Skontrolujte aj firewall hostiteľa a všetky pravidlá sieťového prístupu voči novému zdrojovému rozsahu. Pravidlá napísané pre starý rozsah klientov odmietajú nový, aj keď pridelenie prebehlo úspešne. Trasy klienta k LAN a preklad DNS sú samostatné požiadavky a obe môžu zlyhať, kým tunel vyzerá zdravo. Otestujte každú zvlášť.

Preukážte novú skupinu na jednom zariadení, skôr než vyradíte starú

Vezmite jedno oprávnenie, ktoré ovládate, znova sa pripojte a prečítajte adresu skupiny, ktorú klient dostal. To jedno číslo oddeľuje pridelenie od smerovania. Potom spustite pomenovanú aplikáciu, sledujte spätnú premávku a skúste cieľ, ktorý má zostať zakázaný. Tri pozorovania, tri rôzne režimy zlyhania.

Preklad názvov si zaslúži vlastný test: prístup cez IP môže fungovať, kým DNS klienta stále ukazuje na resolver, ku ktorému sa nedostane. Server DNS v LAN je dostupný len vtedy, ak má k nemu klient trasu a server prijíma dopyty z nového rozsahu. Obe sú časté opomenutia pri presune skupiny.

Staré rozsahy a ich výnimky vyraďte až po zohľadnení aktívnych relácií a procesu údržby. Pripojený klient s novou adresou preukazuje pridelenie, nie zásady prístupu. Uchovávajte starý rozsah zdokumentovaný, kým nevyprší posledná relácia, ktorá ho použila.

Overte výsledok tromi pozorovaniami

Prijatie vyžaduje tri skutočnosti: klient má adresu z novej skupiny, hostiteľ v LAN sa k nemu dostane a dostane odpoveď a zakázaný cieľ zostáva zakázaný. Každá má vlastnú kontrolu, takže zlyhanie ukazuje na pridelenie, smerovanie alebo zásady. Spustite ich v tomto poradí.

Z klienta potvrďte adresu a trasu k jednému hostiteľovi v LAN:

ipconfig | findstr /i "IPv4"
route print -4

Z hostiteľa v LAN potvrďte spätnú cestu a zásady v jednom prechode. Ak ping zlyhá, ale aplikácia funguje, chýbajúcou časťou je pravdepodobne pravidlo ICMP a nie trasa. Ak zlyhajú obe, prečítajte trasu na hostiteľovi, skôr než budete upravovať VPN. Zapíšte tri výsledky do tiketu zmeny, aby ďalší človek začal od dôkazov.