Vrata v polju naslova VPN v sistemu Windows delujejo le pri SSTP

Strežnik VPN odgovarja na TCP 10443, vgrajeni odjemalec Windows ima pravilne poverilnice, povezava pa vseeno pade po premoru, ki je videti kot časovna omejitev DNS. Vzrok je običajno polje naslova: če v polje Ime strežnika ali naslov vpišete vpn.example.com:10443, Windows celoten niz prebere kot ime gostitelja, ker to polje ni splošen vnos host:port. Ali je vrata tam sploh mogoče izraziti, je odvisno od vrste tunela, ki jo uporablja profil, in samo ena od štirih vrst obravnava vrednost kot nekaj, kar zna razčleniti.

Zakaj polje naslova ni polje host:port

Lastnost profila za tem poljem je ServerAddress in vsaka vrsta tunela se odloči, kaj naredi z nizom. Tri od njih nimajo parametra vrat za izpolnitev, zato sta dvopičje in številka le znaka v imenu, ki se ne bo nikoli razrešilo. Četrta teče prek HTTPS, kjer so vrata del URL, zato mora biti vrednost zapisana v obliki, ki se razčleni kot URL.

Zato napaka izgleda kot razreševanje imen in ne kot zavrnjena povezava. Ni slabih vrat za prijavo, le ime gostitelja, ki ne obstaja, in napaka pride potem, ko se razreševalnik vda. Preden se dotaknete strežnika, preverite, katero vrsto tunela profil trdi, da uporablja.

Tri vrste s fiksnimi vrati

PPTP se poveže na TCP 1723 in nato tunel prenaša v GRE, protokolu IP 47. L2TP/IPsec uporablja UDP 1701 za tunel ter UDP 500 in 4500 za IPsec, pri čemer so 4500 vrata za prehod NAT. IKEv2 prav tako uporablja UDP 500 in 4500. Noben od teh profilov nikjer v vmesniku ne izpostavi polja vrat in noben se ne bo pogajal za nestandardna vrata.

Strežnik, ki posluša na vratih po meri, je zato za te profile nedosegljiv, ne glede na to, kako je naslov zapisan. Praktični odgovori so ozki: objavite standardna vrata na strežniku ali prevedite standardna vrata v vrata po meri na usmerjevalniku pred njim. Oba ohranita odjemalčev profil nedotaknjen, kar veliko velja, ko se profil uvaja s pravilnikom in ne vpisuje ročno.

SSTP potrebuje URL, ne imena

SSTP je izjema, ker teče v seji TLS. Polje je treba razčleniti kot URL: najprej shema https://, nato gostitelj, nato dvopičje in vrata. Brez sheme Windows vrednost še naprej obravnava kot navadno ime in povezava ne uspe, preden se zgodi kakršna koli izmenjava TLS.

Razlog, da to ljudi preseneti, je, da privzeta vrata sprejmejo golo ime gostitelja. Profil, ki nikoli ni potreboval vrat po meri, se pravila nikoli ne nauči, in prva oseba, ki jih doda, to odkrije tako, da ji ne uspe. Po shranjevanju preberite shranjeno vrednost, namesto da bi zaupali pogovornemu oknu:

Get-VpnConnection -Name "Corporate SSTP" | Select-Object Name, ServerAddress, TunnelType

ServerAddress prikazuje natanko to, kar je bilo shranjeno. Če se bere kot golo ime gostitelja z dvopičjem, profil ni nikoli prejel URL in nobeno število ponovnih poskusov tega ne bo popravilo.

Sintaksa ponudnika, ki se prilepi v isto polje

Nekatera prehodna vrata dokumentirajo dodatne konvencije za to polje, kot je realm, dodan za vrati, ali parametri poizvedbe, ki spremenijo obravnavo potrdil. Razume jih strežnik tega ponudnika in v nekaterih gradnjah tudi njegov lastni odjemalec. Niso del formata profila Windows in njihovo lepljenje v vgrajeni profil običajno ustvari isto tiho napako imena.

Parameter, ki onemogoči preverjanje potrdil, obravnavajte kot opozorilo in ne kot popravek. Če se profil poveže le s tem parametrom, potrdilo ne ustreza uporabljenemu imenu, in pravi popravek je na prehodnih vratih, ne v odjemalcu. Realm za vrati ima isto lastnost: nekaj naredi le, če ga strežnik na drugi strani pričakuje.

Dokažite vrata in nato preberite stopnjo, ki ne uspe

Preden okrivite profil, potrdite, da nekaj sprejema TCP na teh vratih iz odjemalčevega omrežja:

Test-NetConnection vpn.example.com -Port 10443

Uspeh dokazuje poslušalca, ne SSTP. Spletni strežnik, obratni posrednik ali razporejevalnik obremenitve lahko dokonča rokovanje TCP in vseeno ne govori SSTP, zato je zelen test z rdečim VPN resnična kombinacija. Primerjajte subjekt potrdila z imenom v profilu in preverite dnevnik RasClient v gradnjah, ki ga prinašajo, ker beleži stopnjo, ki ni uspela, namesto splošne časovne omejitve.

Nato razmislite o možnosti, ki težavo odpravi, namesto da bi jo dokumentirala: preusmerite TCP 443 od zunaj na 10443 na strežniku VPN. Odjemalec nato uporabi privzeti profil brez kakršnih koli vrat, kar je običajno najčistejša ureditev za upravljano floto in pusti vrata po meri kot notranjo podrobnost.