Vgrajeni VPN v sistemu Windows ne doseže prehoda SSL ponudnika: zakaj

Windows prinaša štiri vrste tunelov, in prehod ponudnika SSL ni nobena od njih. Usmerite vgrajeni profil v tak prehod in povezava spodleti še pred zahtevo za poverilnice, običajno s sporočilom, da je povezavo končal lokalni sistem. To besedilo je znak neujemanja, ne diagnoza. Vrsta profila in odjemalec, ki ima v lasti protokol, se morata ujemati, in eden od njiju manjka.

Štiri vrste in eno pogovorno okno

Vsak shranjen profil nosi vrsto tunela. Vgrajeni odjemalec sprejema PPTP, L2TP, IKEv2 in SSTP, poleg tega samodejni način, ki jih preizkuša po vrsti. Splošnega vnosa SSL VPN ni, in ga prek pogovornega okna ni mogoče dodati. Prehod ponudnika govori svoj aplikacijski protokol prek TLS, ki ga izvaja le odjemalec tega ponudnika.

Seznam je oddaljen en ukaz in vredi ga zagnati pred vsakim drugim odpravljanjem težav, ker traja sekundo in odstrani cel razred napačnih predpostavk:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Če profil pravi SSTP in prehod ni strežnik RRAS, je neujemanje že ugotovljeno. Nobeno delo s potrdili ali požarnim zidom tega ne spremeni.

SSTP in ponudnikov TLS sta na vratih 443 videti enako

SSTP ovije sejo PPP v TLS in potuje po TCP 443. V Microsoftovem skladu jo zaključi RRAS, ki predstavi strežniško potrdilo, ki ga odjemalec preveri. Tudi naprava Fortinet, Citrix ali Pulse zaključi TLS na 443, in njen portal se odpre v vsakem brskalniku brez pritožb.

Ta preizkus v brskalniku dokazuje dosegljivost, ne združljivosti. Protokol seje za portalom pripada ponudniku, in vgrajeni odjemalec nima nobene njegove izvedbe. Ali ponudnik dobavlja lastnega odjemalca, vam pove, s katero polovico neujemanja imate opravka.

Zgodi se tudi obratna zmeda. Profil, nastavljen kot SSTP proti pravemu strežniku RRAS, lahko spodleti pri preverjanju potrdila, medtem ko je portal v redu, in to je težava s potrdilom, ne s protokolom.

Napake, ki se pojavijo, preden tunel obstaja

Kode serije 800 se sporočajo, preden se vzpostavi kakršen koli tunel, zato jih pravila požarnega zidu redko premaknejo. Napaka 812 je strežniška politika, ki zavrne metodo overjanja, ki jo je ponudil odjemalec. Druge v obsegu prihajajo od lokalnega upravitelja povezav in ne iz omrežja.

Vklopite sledenje, preden kar koli znova zgradite. Sledenje poimenuje fazo, ki spodleti, in ime faze je vredno več kot besedilo pogovornega okna:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Sledi pristanejo v imeniku sledenja in ostanejo tam, dokler jih ne počistite, zato ga pozneje izklopite, namesto da bi ga pustili teči tedne.

Povezan profil lahko še vedno vse pokvari

Profil, ki se poveže in nato pokvari brskanje, lokalno souporabo ali vsebniški pogon, ima težavo s usmerjanjem, ne s tunelom. Privzeti prehod se je preselil v tunel, zato gre vsak cilj zdaj skozi partnerja, ki ga morda ne usmerja.

O tem odločata dve nastavitvi. Ena je lastnost split tunneling v profilu. Druga je možnost za vsak vmesnik, da uporabi privzeti prehod v oddaljenem omrežju, ki je v naprednih nastavitvah IPv4.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Vklop split tunneling brez dodajanja poti ustvari tunel, ki se poveže in ničesar ne doseže. Izklop brez preverjanja DNS ustvari notranja imena, ki se razrešijo v javne odgovore, ker se lastna pripona in strežniki vmesnika ne uporabljajo.

Preverite napeljavo, nato vrsto

Delajte v tem vrstnem redu in se ustavite, ko korak spodleti, namesto da bi vse prilagajali hkrati:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Prvi ukaz loči dosegljivost od protokola. Drugi potrdi, kaj profil trdi, da je. Tabela poti pokaže, ali je tunel prevzel privzeto pot. Ukaz za klicanje sporoči lastno napako upravitelja povezav, ki je pogosto jasnejša od pogovornega okna.

V prijavo zapišite vrsto tunela, izdelek prehoda in natančno napako. Naslednja oseba potem v minuti ve, ali gre za neujemanje protokola, odpoved potrdila ali odločitev o usmerjanju, namesto da bi začela z „VPN ne deluje“.