FortiClient застаје на 98 %: искључите IPv6 на том адаптеру

Трака стигне до 98 %, клијент стоји ту, а поновно уписивање лозинке ништа не мења. То је користан траг: клијент је већ прихватио сертификат приступника, послао акредитиве и примио конфигурацију тунела. Оно што остаје јесте подизање виртуелног адаптера и потврђивање да тунел преноси саобраћај. Када се тај последњи корак никада не доврши, квар је локални и никакво поновно уписивање акредитива га не достиже.

Четири корака, а први је читање записа, а не траке.

Шта бројач од 98 % заправо пријављује

Проценат је клијентов сопствени бројач фаза, а не мера пропусности. Застој на истом броју при сваком покушају значи да клијент достигне одређени корак и чека; зато спора веза и заглављени клијент у запису изгледају различито. Проблем са акредитивима исписао би грешку акредитива уместо тихе станке.

Fortinet је овај симптом документовао уз један узрок на страни клијента: омогућен IPv6 на адаптеру који клијент користи. Зато је подешавање адаптера прва ствар коју треба испробати, а не универзално објашњење за сваки SSL-VPN застој.

Корак 1: прочитајте запис пре траке

Пре него што било шта промените, забележите редове непосредно пре застоја. Тражите да ли је тунелски адаптер створен, да ли је додељена адреса и да ли је клијент одустао од чекања на фамилију адреса. Застој на другом проценту је друга фаза са сопственом дијагнозом, а упозорење о сертификату или погрешна адреса приступника даје сопствену поруку уместо тихог чекања. Запишите временску ознаку јер следећи покушај додаје још један блок у исту датотеку.

Ако запис показује довршену пријаву после које следи ништа, налазите се у локалном подешавању и адаптер је легитиман осумњичени.

Корак 2: ограничите промену IPv6 на један адаптер

Промена припада адаптеру, а не машини. У својствима адаптера у Windows-у то значи уклањање Internet Protocol Version 6 (TCP/IPv6) на одређеном интерфејсу, а из љуске то је Disable-NetAdapterBinding -Name "Ethernet 2" -ComponentID ms_tcpip6. Потврдите стање са Get-NetAdapterBinding -ComponentID ms_tcpip6 пре поновног повезивања. Затим се поново повежите и гледајте да ли трака пролази 98 % уместо да се заустави на њему.

Прво ограничите обим, затим испробајте. Глобално искључивање IPv6 је већа промена него што питање захтева и утиче на услуге које нисте намеравали да дирате.

Корак 3: проверите шта је застој скривао

Тунел који се повезује није тунел који ради. Проверите адресу коју је клијент доделио, руте које је профил инсталирао и разрешавање имена за један интерни хост: Resolve-DnsName files.corp.example. Клијент који се повеже и ништа не разреши има проблем са DNS-ом, а то је лако погрешно прочитати као повратак истог квара.

Испробајте један интерни ресурс по имену и једно јавно одредиште да се покварени split тунел не замени за поправљени клијент.

Корак 4: учините поправку поновљивом

Ако подешавање мора да дође до целе флоте, ставите га у пакет за имплементацију или у конфигурацију адаптера, а не у ручни корак који се понавља на сваком преносном рачунару. Забележите у тикету да је застој на 98 % био повезан са IPv6 на мрежном интерфејсу и забележите шта је још на хосту зависило од IPv6 пре него што га неко поново омогући да поправи нешто неповезано.

Поправка која постоји само у сећању једног инжењера поправка је која се враћа следећег квартала.

Ако се трака и даље зауставља на 98 % са искљученим IPv6, добављачева белешка то више не објашњава и запис је ваш следећи доказ. Престаните да лечите симптом и вратите се бројачу фаза.