Një port në fushën e adresës së VPN-së të Windows funksionon vetëm me SSTP

Një server VPN përgjigjet në TCP 10443, klienti i integruar i Windows ka kredencialet e duhura, dhe lidhja megjithatë vdes pas një pauze që duket si kohë e skaduar e DNS. Shkaku zakonisht është fusha e adresës: shkrimi i vpn.example.com:10443 në Emri i serverit ose adresa bën që Windows të lexojë të gjithë vargun si emër hosti, sepse ai kuti nuk është hyrje e përgjithshme host:port. Nëse një port mund të shprehet atje fare varet nga lloji i tunelit që përdor profili, dhe vetëm një nga katër llojet e trajton vlerën si diçka që mund ta analizojë.

Pse fusha e adresës nuk është kuti host:port

Vetia e profilit pas asaj fushe është ServerAddress, dhe secili lloj tuneli vendos çfarë bën me vargun. Tre prej tyre nuk kanë parametër porti për të plotësuar, kështu që dy pika dhe një numër janë thjesht karaktere në një emër që nuk do të zgjidhet kurrë. I katërti funksionon përmes HTTPS, ku një port është pjesë e URL-së, kështu që vlera duhet shkruar në një formë që analizohet si URL.

Kjo është arsyeja pse dështimi duket si zgjidhje emrash dhe jo si lidhje e refuzuar. Nuk ka port të keq për të raportuar, vetëm një emër hosti që nuk ekziston, dhe gabimi vjen pasi zgjidhësi heq dorë. Përpara se të prekni serverin, kontrolloni çfarë lloj tuneli pretendon profili se përdor.

Tre llojet me port fiks

PPTP lidhet me TCP 1723 dhe më pas e mbart tunelin në GRE, protokolli IP 47. L2TP/IPsec përdor UDP 1701 për tunelin dhe UDP 500 plus 4500 për IPsec, ku 4500 është porti i kalimit të NAT. IKEv2 përdor gjithashtu UDP 500 dhe 4500. Asnjë prej këtyre profileve nuk ekspozon një fushë porti askund në ndërfaqe, dhe asnjë nuk do të negociojë një port jo standard.

Një server që dëgjon në një port të personalizuar është pra i paarritshëm për ato profile, pavarësisht se si shkruhet adresa. Përgjigjet praktike janë të ngushta: publikoni portin standard në server, ose përktheni portin standard në atë të personalizuar në routerin përpara tij. Të dyja e lënë profilin e klientit të paprekur, gjë që vlen shumë kur profili vendoset me politikë dhe nuk shtypet me dorë.

SSTP kërkon URL, jo emër

SSTP është përjashtimi sepse funksionon brenda një sesioni TLS. Fusha duhet të analizohet si URL: së pari skema https://, pastaj hosti, pastaj dy pika dhe porti. Pa skemën, Windows vazhdon ta trajtojë vlerën si emër të thjeshtë dhe lidhja dështon përpara se të ndodhë çdo shkëmbim TLS.

Arsyeja pse kjo i habit njerëzit është se porti i paracaktuar e pranon emrin e hostit të zhveshur. Një profil që nuk ka pasur kurrë nevojë për një port të personalizuar nuk e mëson kurrë rregullin, dhe personi i parë që shton një e zbulon duke dështuar. Pas ruajtjes, lexoni vlerën e ruajtur mbrapsht në vend që t’i besoni dialogut:

Get-VpnConnection -Name "Corporate SSTP" | Select-Object Name, ServerAddress, TunnelType

ServerAddress tregon saktësisht atë që u ruajt. Nëse lexohet si emër hosti i zhveshur me dy pika, profili nuk mori kurrë URL dhe asnjë sasi ripërpjekjesh nuk do ta rregullojë.

Sintaksa e furnizuesit që ngjitet në të njëjtën kuti

Disa porta hyrëse dokumentojnë konvencione shtesë për atë fushë, si një realm i shtuar pas portit ose parametra pyetësi që ndryshojnë trajtimin e certifikatave. Ato kuptohen nga serveri i atij furnizuesi dhe, në disa ndërtime, nga klienti i tij. Nuk janë pjesë e formatit të profilit të Windows, dhe ngjitja e tyre në një profil të integruar zakonisht prodhon të njëjtin dështim të heshtur emri.

Trajtojeni një parametër që çaktivizon vërtetimin e certifikatave si paralajmërim dhe jo si rregullim. Nëse një profil lidhet vetëm me atë parametër, certifikata nuk përputhet me emrin që përdoret, dhe rregullimi i saktë është në portën hyrëse, jo në klient. Një realm pas portit ka të njëjtën veti: bën diçka vetëm nëse serveri në anën tjetër e pret atë.

Vërtetoni portin, pastaj lexoni fazën që dështon

Konfirmoni se diçka pranon TCP në atë port nga rrjeti i klientit përpara se të fajësoni profilin:

Test-NetConnection vpn.example.com -Port 10443

Suksesi provon një dëgjues, jo SSTP. Një server web, një proxy i kundërt ose një balancues ngarkese mund të përfundojnë shtrëngimin e duarve TCP dhe ende nuk flasin SSTP, kështu që një test i gjelbër me një VPN të kuqe është një kombinim i vërtetë. Krahasoni subjektin e certifikatës me emrin në profil, dhe kontrolloni regjistrin RasClient në ndërtimet që e sjellin, sepse regjistron fazën që dështoi në vend të një kohe të skaduar gjenerike.

Pastaj merrni në konsideratë opsionin që e heq problemin në vend që ta dokumentojë: përcillni TCP 443 nga jashtë në 10443 në serverin VPN. Klienti pastaj përdor profilin e paracaktuar pa asnjë port, gjë që zakonisht është rregullimi më i pastër për një flotë të menaxhuar dhe e lë portin e personalizuar si detaj të brendshëm.