Odjemalci VPN v RRAS potrebujejo svoj nabor IPv4 in pot nazaj

Odjemalec VPN se poveže in prejme naslov, a gostitelj v LAN, ki ga potrebuje, mu še vedno ne more odgovoriti. V Windows Routing and Remote Access notranji naslov odjemalcev VPN prihaja iz nabora, ki je konfiguriran ločeno od omrežnega adapterja strežnika, stran LAN pa potrebuje pot nazaj do tega nabora. Dve spremembi, ne ena, in spodletita na različne načine. Izvedite ju po vrsti, da bosta načrt naslovov in povratna pot dokazana, preden se stari obsegi umaknejo.

Rezervirajte obseg, preden odprete konzolo

Izberite predpono, ki se ne prekriva z LAN, drugimi obsegi VPN ali čimer koli, kar se usmerja v lokacijo. /24 je primerna velikost za preizkus, prvi uporabni del pa lahko dobijo odjemalci, medtem ko ostane preostanek prost za rast. Zapišite ga z namenom in lastnikom, preden ga vnesete v konzolo. Pustite prostor na obeh koncih bloka, da poznejša delitev ne bo vsilila preštevilčenja.

Načrt naslovov, ki živi samo v konzoli, je eno ponovno zgraditev od trka. Tudi rad raste: nekdo pozneje doda drugi obseg in nihče ne preveri prvega. Hranite načrt ob dokumentaciji strežnika, ne v niti klepeta.

Omrežni adapter strežnika ne določa tega nabora. Spreminjanje javnega poslušalca ali dodajanje adapterja v LAN naredi nekaj povsem drugega. Zato se odjemalci lahko povežejo in vseeno dobijo naslov z napačnega mesta. Nabor živi v lastnostih IPv4 strežnika, ne na seznamu adapterjev.

Spreminjanje metode ni dodajanje obsega

RRAS ima metodo dodeljevanja in nabor obsegov. Prehod z DHCP na statični nabor je sprememba metode. Dodajanje še enega bloka, ko je statični nabor že aktiven, je sprememba obsega.

Preden zaženete katero koli, si oglejte obe operaciji in preberite, katera ustreza trenutnemu stanju strežnika:

Set-VpnIPAddressAssignment -IPAssignmentMethod StaticPool -IPAddressRange '10.250.50.10','10.250.50.100' -WhatIf
Add-VpnIPAddressRange -IPAddressRange '10.250.50.110','10.250.50.150' -WhatIf

Drugi cmdlet spodleti ali ustvari neuporaben nabor, če je strežnik še vedno na dodeljevanju DHCP. Prvi nadomesti metodo, namesto da bi razširil obstoječi nabor. Noben predogled ničesar ne uporabi, zato zaženite ustreznega in nato nastali nabor potrdite v konzoli. Če niste prepričani, v kakšnem stanju je strežnik, preberite metodo dodeljevanja na strani z lastnostmi IPv4 in naštejte konfigurirane obsege:

Get-VpnIPAddressRange

Metoda DHCP s praznim seznamom obsegov pomeni, da velja prvi predogled. Statični nabor naslovov z obstoječim obsegom pomeni, da velja drugi.

Upoštevajte ponovni zagon storitve, ki ga nastavitev lahko zahteva, in ne predpostavljajte, da bodo povezani odjemalci takoj preštevilčeni. Odjemalec, ki obdrži stari naslov, dokler se znova ne poveže, se obnaša običajno. Spremembo načrtujte za okno, v katerem je ponovna povezava sprejemljiva.

LAN potrebuje pot nazaj

Recimo, da je LAN 10.60.0.0/24 in strežnik RRAS v njem 10.60.0.10. Gostitelj v tem LAN, ki odgovarja odjemalcu v 10.250.50.0/24, potrebuje pot do nabora prek strežnika RRAS. Brez te poti zahteva prispe in odgovor umre.

Če je privzeti prehod gostitelja drug usmerjevalnik, ta usmerjevalnik potrebuje povratno pot za predpono VPN. Statična pot na strežniku RRAS tu ne pomaga; povratna pot mora obstajati na napravi, ki ima prehod LAN, zato jo dodajte v usmerjevalno tabelo ali v postopek dinamičnega usmerjanja, glede na to, kaj uporablja lokacija.

Preverite tudi požarni zid gostitelja in vsa pravila omrežnega dostopa glede na novi izvorni obseg. Pravila, napisana za stari obseg odjemalcev, zavrnejo novega, tudi če je dodeljevanje uspelo. Poti odjemalca proti LAN in razreševanje DNS sta ločeni zahtevi in obe lahko spodletita, medtem ko je tunel videti zdrav. Preizkusite vsako posebej.

Dokažite novi nabor na eni napravi, preden umaknete starega

Vzemite eno avtorizacijo, ki jo nadzirate, se znova povežite in preberite naslov nabora, ki ga je prejel odjemalec. Ta ena številka loči dodeljevanje od usmerjanja. Nato izvedite imenovano aplikacijo, opazujte povratni promet in poskusite cilj, ki mora ostati zavrnjen. Tri opažanja, trije različni načini odpovedi.

Razreševanje imen si zasluži svoj preizkus: dostop prek IP lahko deluje, medtem ko DNS odjemalca še kaže na razreševalnik, do katerega ne more priti. Strežnik DNS v LAN je dosegljiv le, če ima odjemalec pot do njega in strežnik sprejema poizvedbe iz novega obsega. Oboje so pogoste spregledane točke ob selitvi nabora.

Stare obsege in njihove izjeme umaknite šele po upoštevanju dejavnih sej in postopka vzdrževanja. Povezan odjemalec z novim naslovom dokazuje dodeljevanje, ne politike dostopa. Ohranite stari obseg dokumentiran, dokler ne poteče zadnja seja, ki ga je uporabila.

Preverite rezultat s tremi opažanji

Sprejem zahteva tri dejstva: odjemalec ima naslov iz novega nabora, gostitelj v LAN ga lahko doseže in prejme odgovor, zavrnjeni cilj pa ostane zavrnjen. Vsako ima svoje preverjanje, zato napaka kaže na dodeljevanje, usmerjanje ali politiko. Zaženite jih v tem vrstnem redu.

Z odjemalca potrdite naslov in pot do enega gostitelja v LAN:

ipconfig | findstr /i "IPv4"
route print -4

Z gostitelja v LAN potrdite povratno pot in politiko v enem prehodu. Če ping spodleti, aplikacija pa deluje, je manjkajoči del verjetno pravilo ICMP in ne pot. Če spodletita oba, preberite pot na gostitelju, preden uredite VPN. Zapišite tri rezultate v zahtevek za spremembo, da bo naslednja oseba začela z dokazi.