Vstavaný VPN v systéme Windows nedosiahne na SSL bránu dodávateľa: prečo

Systém Windows prináša štyri typy tunelov a brána dodávateľa nie je ani jeden z nich. Nasmerujte napriek tomu vstavaný profil na takú bránu a pripojenie zlyhá ešte pred výzvou na zadanie údajov, zvyčajne so správou, že pripojenie ukončil miestny systém. Ten text je signálom nesúladu, nie diagnózou. Typ profilu a klient, ktorý vlastní protokol, sa musia zhodovať, a jeden z nich chýba.

Štyri typy a jeden dialóg

Každý uložený profil nesie typ tunela. Vstavaný klient prijíma PPTP, L2TP, IKEv2 a SSTP, plus automatický režim, ktorý ich skúša po poradí. Neexistuje všeobecná položka SSL VPN a cez dialóg sa nedá pridať. Brána dodávateľa hovorí vlastným aplikačným protokolom nad TLS, ktorý implementuje iba klient tohto dodávateľa.

Zoznam je vzdialený jeden príkaz a oplatí sa ho spustiť pred akýmkoľvek ďalším riešením problémov, pretože zaberie sekundu a odstráni celú triedu nesprávnych predpokladov:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Ak profil hovorí SSTP a brána nie je server RRAS, nesúlad je už preukázaný. Žiadna práca s certifikátmi ani firewallom to nezmení.

SSTP a TLS dodávateľa vyzerajú na porte 443 rovnako

SSTP obaľuje reláciu PPP do TLS a ide po TCP 443. V zásobníku Microsoftu ju ukončuje RRAS, ktorý predkladá serverový certifikát, ktorý klient overuje. Zariadenie Fortinet, Citrix alebo Pulse tiež ukončuje TLS na 443 a jeho portál sa otvorí v každom prehliadači bez sťažnosti.

Ten test v prehliadači dokazuje dostupnosť, nie kompatibilitu. Relačný protokol za portálom patrí dodávateľovi a vstavaný klient nemá jeho implementáciu. Či dodávateľ dodáva vlastného klienta, vám povie, s ktorou polovicou nesúladu máte čo do činenia.

Opačná zámena sa tiež stáva. Profil nastavený ako SSTP voči skutočnému serveru RRAS môže zlyhať pri overení certifikátu, hoci portál je v poriadku, a to je problém certifikátu, nie protokolu.

Chyby, ktoré sa objavia skôr, než tunel existuje

Kódy radu 800 sa hlásia pred vytvorením akéhokoľvek tunela, preto ich pravidlá firewallu málokedy ovplyvnia. Chyba 812 je serverová politika, ktorá odmieta metódu overenia ponúknutú klientom. Ostatné v rozsahu pochádzajú z miestneho správcu pripojení, nie zo siete.

Zapnite trasovanie, skôr než čokoľvek prestaviate. Trasovanie pomenuje zlyhávajúcu fázu a názov fázy má väčšiu cenu než text v dialógu:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Trasovania sa ukladajú do adresára trasovania a zostanú tam, kým ich nevymažete, preto ho potom vypnite, namiesto toho aby ste ho nechali bežať týždne.

Pripojený profil môže stále pokaziť všetko

Profil, ktorý sa pripojí a potom pokazí prehliadanie, miestne zdieľanie alebo kontajnerový engine, má problém s routovaním, nie s tunelom. Predvolená brána sa presunula do tunela, takže každý cieľ teraz ide cez partnera, ktorý ho nemusí routovať.

Rozhodujú o tom dve nastavenia. Jedno je vlastnosť split tunneling v profile. Druhé je voľba pre každý adaptér používať predvolenú bránu vo vzdialenej sieti, ktorá je v rozšírených nastaveniach IPv4.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Zapnutie split tunneling bez pridania trás vytvorí tunel, ktorý sa pripojí a nič nedosiahne. Vypnutie bez kontroly DNS vytvorí interné názvy, ktoré sa prekladajú na verejné odpovede, pretože sa nepoužívajú vlastná prípona a servery adaptéra.

Overte prepojenie, potom typ

Postupujte v tomto poradí a zastavte sa, keď krok zlyhá, namiesto toho aby ste ladili všetko naraz:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Prvý príkaz oddeľuje dostupnosť od protokolu. Druhý potvrdzuje, čím profil tvrdí, že je. Tabuľka trás ukazuje, či tunel zachytil predvolenú trasu. Príkaz na vytáčanie hlási vlastnú chybu správcu pripojení, ktorá je často jasnejšia než dialóg.

Zapíšte do tiketu typ tunela, produkt brány a presnú chybu. Ďalší človek potom do minúty vie, či ide o nesúlad protokolu, zlyhanie certifikátu alebo rozhodnutie o routovaní, namiesto toho aby začínal od „VPN nefunguje“.