Kateri vmesnik lokacije RRAS izbere dohodni tunel?
RRAS izbere dohodni vmesnik lokacije po naslovu partnerja, uporabniškem imenu ali subjektu potrdila, zato to ključ berite ločeno od stanj omogočeno in povezano.
Na strežniku Windows z več vmesniki lokacija-lokacija oznaka v konzoli ni le opomba za ljudi. RRAS uporabi določeno polje iz dohodne povezave, da odloči, kateri logični vmesnik odgovori, in to polje se spreminja z metodo preverjanja pristnosti. Če ključ zgrešite, boste preimenovali vmesnike, dokler se nekaj ne poveže po naključju. Pravilo izbire, administrativno stanje in stanje seje so tri ločena dejstva, in le eno od njih zadeva poimenovanje.
Mit: preimenovan vmesnik se bo ujemal s čimer koli
Mamljiv popravek, ko se podružnica ne more povezati, je ustvariti ali preimenovati vmesnik lokacije, dokler ni podoben klicatelju. To deluje za eno metodo preverjanja pristnosti in tiho odpove pri drugih, zato ista procedura kroži z nasprotujočimi si rezultati. Vmesnik lokacije je logični objekt povezave z lastno ciljno točko, zaščitenimi predponami in stanjem. Ni fizični vmesnik, ki prenaša šifrirane pakete, zato pogled na omrežne vmesnike ne pove ničesar o tem, kateri objekt lokacije je bil izbran.
Izbira tudi nima nič skupnega z običajnimi uporabniki oddaljenega dostopa. Če kličejo odjemalci VPN zaposlenih, imajo drugo vlogo, in njihova uporabniška imena v tem preslikavanju nikoli ne sodelujejo. Potrdite, kateri vlogi pripada klicatelj, preden kar koli preberete v znano ime.
Tri oblike preverjanja pristnosti, trije ključi izbire
Pri vnaprej deljenem ključu se nastavljeni ciljni naslov vmesnika primerja z naslovom dohodnega partnerja. Oznaka je lahko karkoli, ker odločitev nosi naslov. Pri preverjanju pristnosti z uporabniškim imenom se ime vmesnika primerja z uporabniškim imenom, ki ga predloži klicatelj. Tu je oznaka ključ, in prav zato je lahko preimenovanje videti, kot da popravi eno lokacijo in pokvari drugo.
S potrdili se ime vmesnika primerja z imenom subjekta v predloženem potrdilu. Ime se mora ujemati s tem subjektom, in lepa oznaka, ki si jo izmisli operater, ne bo zadostovala.
Sledita dve posledici. V ureditvi z vnaprej deljenim ključem je za določen cilj mogoče omogočiti le en vmesnik, zato dve podružnici, ki si delita en opaženi javni naslov, ne moreta biti obe oskrbovani z dvojnimi vnosi. In velja tista metoda, ki ste jo dejansko nastavili, ne glede na to, kaj predlaga konzola.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Omogočeno ni povezano
Administrativno stanje pove, ali sme logični vmesnik delovati. Stanje povezave pove, ali seja zdaj obstaja. Omogočen vmesnik brez seje je običajno stanje mirovanja za povezavo, ki se vzpostavi na zahtevo, in poročanje o tem kot o napaki pošilja ljudi za izpadom, ki ga ni.
Uporabite iskanje po imenu ali dokumentirano iskanje v domeni usmerjanja, vendar ne obeh parametrov hkrati, in zaženite ga v predvidenem kontekstu strežnika. Če pričakovanega vmesnika ni na prvem seznamu, je težava pred stanjem: izbrano ni bilo nič.
Par berite skupaj in ne ločeno. Povezava, ki naj bi ostala vzpostavljena in se kaže kot prekinjena, si zasluži preiskavo, medtem ko se nedejavna povezava na zahtevo, ki se poveže, ko je treba, obnaša, kot je zasnovano. Medtem bo administrativno onemogočen vmesnik ostal temen, ne glede na to, kolikokrat nasprotna stran ponovno zažene svoj usmerjevalnik.
Nobena od vrednosti ne dokazuje, da je preverjanje pristnosti uspelo, da se dogovorjena zaščita ujema, da so bile poti nameščene ali da je zasebna aplikacija dovoljena. To so štiri različna vprašanja s štirimi različnimi odgovori.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStatePreberite transakcijo identitete, preden kar koli omogočite
Ko se dohodni klicatelj preslika na vmesnik, ki ga niste pričakovali, je koristen dokaz identiteta, ki jo je predložil, ne seznam onemogočenih vmesnikov. Izvlecite nedavne dogodke oddaljenega dostopa in preberite naslov klicatelja, izid preverjanja pristnosti in ime izbranega vmesnika. Onemogočen vmesnik je lahko namerno upokojena lokacija ali prepovedan partner. Omogočiti ga, da bi videli, ali ena napaka prijave izgine, je sprememba konfiguracije s posledicami za usmerjanje in dostop, zato odločitev speljite prek lastnika tega razmerja lokacije, skupaj z njegovo ciljno točko, zaščitenimi predponami in pravilnikom.
Če je preslikava res napačna, popravite ključ in ne simptoma: popravite subjekt potrdila ali v primeru uporabniškega imena ime vmesnika, v primeru vnaprej deljenega ključa pa ciljno točko. Nato se enkrat znova povežite in potrdite, da isti klicatelj zdaj izbira predvideni objekt.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Zaprite zanko z dovoljeno operacijo
Zeleno stanje ni sprejetje. Ko je izbran pravi vmesnik, ustvarite promet, ki ga zasnova dovoljuje, z gostitelja v eni zaščiteni predponi na gostitelja v drugi, in potrdite, da se odgovor vrne po isti poti. Izvedite enak poskus z gostitelja, ki bi moral biti zavrnjen, z uporabo Test-NetConnection -ComputerName 10.44.2.10 -Port 445 proti storitvi, ki jo zasnova izključuje, in znova preberite dogodke oddaljenega dostopa. Povezava lokacije, ki prenaša več od predvidenih predpon ali odgovarja za storitev, ki jo pravilnik izključuje, je napaka pri usmerjanju, ki je noben pregled stanja ne bo razkril.
Zapišite metodo preverjanja pristnosti, ključ izbire in dovoljene predpone skupaj v obratovalni priročnik lokacije. Naslednji inženir bo naletel na isto tabelo s tremi vrednostmi, in dogovor o poimenovanju ima smisel šele, ko je to okolje zapisano.