Порт у пољу адресе Windows VPN-а ради само са SSTP-ом

VPN сервер одговара на TCP 10443, уграђени Windows клијент има исправне акредитиве, а веза ипак пада после паузе која личи на DNS тајмаут. Узрок је обично поље адресе: уписивање vpn.example.com:10443 у Назив сервера или адреса наводи Windows да цео низ прочита као име хоста, јер то поље није општи host:port унос. Да ли се порт тамо уопште може изразити зависи од типа тунела који профил користи, а само један од четири типа третира вредност као нешто што може да парсира.

Зашто поље адресе није поље host:port

Својство профила иза тог поља је ServerAddress и сваки тип тунела одлучује шта ради са низом. Три од њих немају параметар порта који би попунили, па су двотачка и број само знакови у имену које се никада неће разрешити. Четврти иде преко HTTPS-а, где је порт део URL-а, па вредност мора бити написана у облику који се парсира као URL.

Зато квар изгледа као разрешавање имена, а не као одбијена веза. Нема лошег порта за пријаву, само име хоста које не постоји, а грешка стиже након што резолвер одустане. Пре него што дирнете сервер, проверите који тип тунела профил тврди да користи.

Три типа са фиксним портом

PPTP се повезује на TCP 1723, а затим носи тунел у GRE-у, IP протоколу 47. L2TP/IPsec користи UDP 1701 за тунел и UDP 500 плус 4500 за IPsec, при чему је 4500 NAT-traversal порт. IKEv2 такође користи UDP 500 и 4500. Ниједан од тих профила нигде у интерфејсу не излаже поље порта и ниједан неће преговарати нестандардни порт.

Сервер који слуша на прилагођеном порту зато је недоступан тим профилима без обзира на то како је адреса написана. Практични одговори су уски: објавите стандардни порт на серверу или преведите стандардни порт у прилагођени на рутеру испред њега. Оба чувају клијентски профил нетакнутим, што много вреди када се профил распоређује правилником, а не уписује ручно.

SSTP-у треба URL, а не име

SSTP је изузетак јер ради унутар TLS сесије. Поље мора да се парсира као URL: прво шема https://, затим хост, па двотачка и порт. Без шеме Windows наставља да третира вредност као обично име и веза пада пре било какве TLS размене.

Разлог зашто то изненађује јесте то што стандардни порт прихвата голо име хоста. Профил који никада није требао прилагођени порт никада не научи правило, а прва особа која га дода открије га тако што не успе. Након чувања прочитајте сачувану вредност уместо да верујете дијалогу:

Get-VpnConnection -Name "Corporate SSTP" | Select-Object Name, ServerAddress, TunnelType

ServerAddress показује тачно оно што је сачувано. Ако се чита као голо име хоста са двотачком у себи, профил никада није добио URL и никакво понављање то неће поправити.

Синтакса добављача која се лепи у исто поље

Неки gateway-и документују додатне конвенције за то поље, као што је realm додат након порта или параметри упита који мењају руковање сертификатом. Они су разумљиви том серверу добављача и, у неким build-овима, његовом сопственом клијенту. Нису део Windows формата профила, а лепљење у уграђени профил обично производи исти тихи квар имена.

Параметар који искључује проверу сертификата третирајте као упозорење, а не као поправку. Ако се профил повезује само с тим параметром, сертификат се не поклапа с именом које се користи, а исправна поправка је на gateway-у, не у клијенту. Realm након порта има исто својство: делује само ако га сервер с друге стране очекује.

Докажите порт, па прочитајте фазу која пада

Потврдите да нешто прихвата TCP на том порту из мреже клијента пре него што окривите профил:

Test-NetConnection vpn.example.com -Port 10443

Успех доказује слушаоца, не SSTP. Web сервер, обрнути прокси или балансер оптерећења могу да заврше TCP руковање и даље не говоре SSTP, па је зелени тест са црвеним VPN-ом стварна комбинација. Упоредите субјекат сертификата с именом у профилу и проверите RasClient дневник у build-овима који га испоручују, јер бележи фазу која је пала уместо генеричког тајмаута.

Затим размотрите опцију која уклања проблем уместо да га документује: проследите TCP 443 споља на 10443 на VPN серверу. Клијент тада користи стандардни профил без икаквог порта, што је обично најчистији распоред за управљану флоту и оставља прилагођени порт као интерни детаљ.