VPN-ja e integruar e Windows nuk arrin një portë SSL furnizuesi: pse

Windows vjen me katër lloje tunelesh, dhe porta SSL e furnizuesit nuk është asnjë prej tyre. Prapëseprapë drejtoni një profil të integruar drejt një të tillë, dhe lidhja dështon përpara kërkesës për kredenciale, zakonisht me një mesazh se lidhja u ndërpre nga sistemi lokal. Ai tekst është sinjal mospërputhjeje, jo diagnozë. Lloji i profilit dhe klienti që zotëron protokollin duhet të përputhen, dhe njëri prej tyre mungon.

Katër lloje dhe një dialog

Çdo profil i ruajtur mbart një lloj tuneli. Klienti i integruar pranon PPTP, L2TP, IKEv2 dhe SSTP, plus një modalitet automatik që i provon me radhë. Nuk ka asnjë zë të përgjithshëm SSL VPN, dhe nuk ka mënyrë për të shtuar një përmes dialogut. Porta e furnizuesit flet protokollin e vet të aplikacionit mbi TLS, të cilin e zbaton vetëm klienti i atij furnizuesi.

Lista është një komandë larg, dhe ia vlen të ekzekutohet përpara çdo zgjidhjeje tjetër problemesh, sepse zgjat një sekondë dhe heq një klasë të tërë supozimesh të gabuara:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Nëse profili thotë SSTP dhe porta nuk është server RRAS, mospërputhja tashmë është vërtetuar. Asnjë punë me certifikata ose mur zjarri nuk e ndryshon atë.

SSTP dhe TLS i furnizuesit duken njësoj në portën 443

SSTP e mbështjell një sesion PPP brenda TLS dhe udhëton në TCP 443. Në stivën e Microsoft përfundohet nga RRAS, i cili paraqet një certifikatë serveri që klienti e vërteton. Edhe një pajisje Fortinet, Citrix ose Pulse përfundon TLS në 443, dhe portali i saj hapet në çdo shfletues pa ankesa.

Ai test në shfletues vërteton arritshmërinë, jo përputhshmërinë. Protokolli i sesionit pas portalit i përket furnizuesit, dhe klienti i integruar nuk ka asnjë zbatim të tij. Nëse furnizuesi ofron një klient të vetin ju tregon me cilën gjysmë të mospërputhjes keni të bëni.

Ndodh edhe konfuzioni i kundërt. Një profil i konfiguruar si SSTP kundrejt një serveri RRAS të vërtetë mund të dështojë në vërtetimin e certifikatës ndërsa portali është në rregull, dhe ky është problem certifikate, jo problem protokolli.

Gabime që shfaqen përpara se të ekzistojë një tunel

Kodet e serisë 800 raportohen përpara se të vendoset çdo tunel, prandaj rregullat e murit të zjarrit rrallë i lëvizin. Gabimi 812 është një politikë nga ana e serverit që refuzon metodën e vërtetimit të ofruar nga klienti. Të tjerët në interval vijnë nga menaxheri lokal i lidhjeve dhe jo nga rrjeti.

Aktivizoni gjurmimin përpara se të rindërtoni çdo gjë. Gjurmimi emërton fazën që dështon, dhe një emër faze vlen më shumë sesa teksti i dialogut:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Gjurmimet zbresin në drejtorinë e gjurmimit dhe qëndrojnë atje derisa t'i pastroni, prandaj çaktivizojeni më pas në vend që ta lini të punojë javë të tëra.

Një profil i lidhur mund të prishë gjithçka gjithsesi

Një profil që lidhet dhe më pas prish shfletimin, një ndarje lokale ose një motor kontejnerësh ka problem rrugëtimi, jo problem tuneli. Porta e paracaktuar kaloi në tunel, kështu që çdo destinacion tani kalon përmes një partneri që mund të mos e rrugëtojë.

Dy kontrolle e vendosin këtë. Njëri është vetia split tunneling në profil. Tjetri është opsioni për çdo përshtatës për të përdorur portën e paracaktuar në rrjetin e largët, që ndodhet në cilësimet e avancuara të IPv4.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Aktivizimi i split tunneling pa shtuar rrugë prodhon një tunel që lidhet dhe nuk arrin asgjë. Çaktivizimi pa kontrolluar DNS prodhon emra të brendshëm që zgjidhen në përgjigje publike, sepse prapashtesa dhe serverët e vetë përshtatësit nuk përdoren.

Verifikoni instalimin, pastaj llojin

Punoni në këtë rend, dhe ndaloni kur një hap dështon në vend që të rregulloni gjithçka njëherësh:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Komanda e parë ndan arritshmërinë nga protokolli. E dyta konfirmon çfarë pretendon të jetë profili. Tabela e rrugëve tregon nëse tuneli kapi rrugën e paracaktuar. Komanda e thirrjes raporton gabimin e vetë menaxherit të lidhjeve, i cili shpesh është më i qartë se dialogu.

Shënoni në tiketë llojin e tunelit, produktin e portës dhe gabimin e saktë. Pastaj personi tjetër e di brenda një minute nëse është mospërputhje protokolli, dështim certifikate ose vendim rrugëtimi, në vend që të nisë me “VPN-ja nuk funksionon”.