Hodnota registra NAT-T vo Windows: najprv skontrolujte topológiu

Pripojenie VPN v Windows zlyhá, hľadanie vráti hodnotu registra a táto hodnota sa zapíše spolu s reštartom. Tento sled niekedy funguje a nikdy nič nevysvetlí. Dotknuté nastavenie odpovedá na jednu otázku o tom, kde je server voči zariadeniu NAT, a nemá zmysel, kým neviete, ktorý protokol a v ktorej fáze zlyhal.

Čo hodnota vlastne vyberá

AssumeUDPEncapsulationContextOnSendRule určuje, či sa implementácia IPsec vo Windows pokúsi vytvoriť asociácie s partnerom za zariadením NAT. Dokumentovaná predvolená hodnota 0 tento prípad nepovoľuje, 1 ho povoľuje, keď je server stranou za NAT, a 2 pokrýva preklad oboch koncov. To sú výroky o topológii — kto je kde.

Čítané ako postupnosť, čísla opisujú čoraz viac prekladu, nie čoraz väčšiu spoľahlivosť. Nastavenie 2 v sieti, kde sa nič neprekladá, neurobí pripojenie rýchlejším ani stabilnejším a neopraví zlyhanie overenia. Pokyny Microsoftu k NAT pre L2TP/IPsec dokumentujú politiku a jej historický kontext platformy. Porovnajte tento kontext s verziou a rolou Windows, ktoré skutočne používate, pretože dokument, ktorý prežil niekoľko vydaní, nie je tvrdením o každom aktuálnom zostavení.

Najprv zladiť topológiu, potom číslo

Nakreslite cestu a označte body prekladu: je klient za domácim routerom, je server za vyvažovačom záťaže alebo firewallom, ktorý prepisuje adresy, a je niektorý koniec za prekladom operátora, ktorý nekontrolujete. Až po tomto náčrte môžete rozhodnúť, či sa hodnota vzťahuje, a na ktorý koniec.

Tvrdenie, že súčasné verzie Windows Serveru sa jednoducho dodávajú s vypnutým NAT traversal, je príliš široké na to, aby sa podľa neho konalo. Dôležité sú zásady vo vašom systéme, topológia pred ním a výmena, ktorá zlyhala, v tomto poradí. Ak majú oba konce verejné adresy, nastavenie nie je váš problém. Pozrite sa namiesto toho na návrh, certifikát alebo účet a register nechajte na pokoji.

Najprv skontrolujte fázu zlyhania

L2TP/IPsec spôsobuje najmenej tri rôzne poruchy: partner nie je dostupný, ochranu IPsec nemožno nadviazať a overenie používateľa PPP sa odmietne po tom, čo tunel existuje. Odmietnutý účet nemožno opraviť zmenou zásad NAT a nezhodu návrhov nemožno opraviť reštartom.

Get-VpnConnection -Name "Corp L2TP" | Format-List Name, ServerAddress, TunnelType, EncryptionLevel
Get-WinEvent -LogName System -MaxEvents 40 | Where-Object Id -in 20227,20226,20274
netsh interface ipv4 show interfaces

Časový limit bez odpovede naznačuje skôr dostupnosť alebo filtrovanie než zásady. Rýchle odmietnutie so správou o návrhu ukazuje na algoritmy. Zlyhanie po nadviazaní tunela patrí do fázy overenia, čo je iný vlastník a iná oprava.

SSTP cez HTTPS a natívny IKEv2 majú vlastné protokoly a vlastné ovládanie. Nič z toho sa nestane prípadom NAT traversal len preto, že beží aj vo Windows.

Vykonajte zmenu s cestou späť

Ak to dokumentované zásady aj pozorovaná topológia vyžadujú, poznačte predchádzajúcu hodnotu, vykonajte zmenu spravovanou konfiguráciou, nie skriptom pre každý profil, a naplánujte reštart. Na serveri, ktorý podporuje iné úlohy, to nie je neškodná úprava.

Zariadenie NAT stále musí prenášať zapuzdrenú prevádzku a spätnú prevádzku. Hodnota registra nevytvára pravidlo preposielania, nezlaďuje návrhy a neoveruje identitu, takže spojenie, ktoré po zmene začne fungovať, môže fungovať z úplne iného dôvodu. Otestujte znova pôvodný protokol s pôvodnou topológiou, potom zapíšte, ktorá fáza zlyhala a prečo sa očakávalo, že hodnota tento problém vyrieši. Práve táto veta mení internetovú povesť na konfiguráciu, ktorú môžete obhájiť.