VPN клијентима у RRAS-у потребан је сопствени IPv4 базен и пут назад

VPN клијент се повезује и добија адресу, али LAN домаћин који му је потребан и даље не може да му одговори. У Windows Routing and Remote Access унутрашња адреса VPN клијената долази из базена који се конфигурише одвојено од LAN адаптера сервера, а LAN страни је потребна путања назад до тог базена. Две промене, не једна, и оне не успевају на различите начине. Прођите их по реду да би план адреса и повратни пут били доказани пре него што се стари опсези повуку.

Резервишите опсег пре отварања конзоле

Изаберите префикс који се не преклапа са LAN-ом, другим VPN опсезима или било чиме што се рутира ка локацији. /24 је згодна величина за тест, а први употребљиви део може се дати клијентима док остатак остаје слободан за раст. Запишите га са наменом и власником пре него што га унесете у конзолу. Оставите простора на оба краја блока да каснија подела не наметне пренумерацију.

План адреса који живи само у конзоли је једна реизградња од судара. Такође има тенденцију да расте: неко касније дода други опсег и нико не проверава први. Држите план поред документације сервера, а не у нити разговора.

LAN адаптер сервера не дефинише овај базен. Промена јавног слушаоца или додавање адаптера на LAN чини нешто сасвим друго. Зато клијенти могу да се повежу и ипак добију адресу са погрешног места. Базен живи у IPv4 својствима сервера, не у листи адаптера.

Промена методе није додавање опсега

RRAS има методу доделе и скуп опсега. Прелазак са DHCP-а на статички базен је промена методе. Додавање још једног блока док је статички базен већ активан је промена опсега.

Прегледајте обе операције пре извршавања било које и прочитајте која одговара тренутном стању сервера:

Set-VpnIPAddressAssignment -IPAssignmentMethod StaticPool -IPAddressRange '10.250.50.10','10.250.50.100' -WhatIf
Add-VpnIPAddressRange -IPAddressRange '10.250.50.110','10.250.50.150' -WhatIf

Други cmdlet не успева или ствара неупотребљив базен ако је сервер још на DHCP додели. Први замењује методу уместо да прошири постојећи базен. Ниједан преглед ништа не примењује, зато извршите одговарајући, а затим потврдите добијени базен у конзоли. Ако нисте сигурни у ком је стању сервер, прочитајте методу доделе на страници IPv4 својстава и наведите конфигурисане опсеге:

Get-VpnIPAddressRange

Метода DHCP са празном листом опсега значи да се примењује први преглед. Статички базен адреса са постојећим опсегом значи да се примењује други.

Узмите у обзир поновно покретање услуге које подешавање може да захтева и не претпостављајте да ће повезани клијенти одмах бити пренумерисани. Клијент који задржава стару адресу док се поново не повеже понаша се нормално. Планирајте промену за прозор у ком је поновно повезивање прихватљиво.

LAN-у је потребна путања назад

Претпоставимо да је LAN 10.60.0.0/24, а сервер RRAS 10.60.0.10 у њему. Домаћину на том LAN-у који одговара клијенту у 10.250.50.0/24 потребна је путања до базена кроз сервер RRAS. Без те путање захтев стиже, а одговор умире.

Ако је подразумевани гејтвеј домаћина други рутер, том рутеру је потребна повратна путања за VPN префикс. Статичка путања на серверу RRAS овде не помаже; повратни пут мора да постоји на уређају који поседује LAN гејтвеј, зато га додајте у табелу рутирања или у процес динамичког рутирања, зависно од тога шта локација користи.

Проверите и заштитни зид домаћина и сва правила мрежног приступа према новом изворном опсегу. Правила написана за стари опсег клијената одбијају нови, чак и када је додела успела. Путање клијента ка LAN-у и DNS резолуција су одвојени захтеви и обе могу да не успеју док тунел изгледа здрав. Тестирајте сваки појединачно.

Докажите нови базен на једном уређају пре повлачења старог

Узмите једну ауторизацију коју контролишете, поново се повежите и прочитајте адресу базена коју је клијент добио. Тај један број одваја доделу од рутирања. Затим извежбајте именовану апликацију, посматрајте повратни саобраћај и пробајте одредиште које треба да остане одбијено. Три запажања, три различита режима отказа.

Резолуција имена заслужује сопствени тест: приступ преко IP-а може да ради док DNS клијента још показује на резолвер који не може да достигне. DNS сервер на LAN-у доступан је само ако клијент има путању до њега и сервер прихвата упите из новог опсега. Обе су чести пропусти када се базен премешта.

Повуците старе опсеге и њихове изузетке само након узимања у обзир активних сесија и процеса одржавања. Повезан клијент са новом адресом доказује доделу, не политику приступа. Држите стари опсег документован док не истекне последња сесија која га је користила.

Проверите резултат трима запажањима

Прихватање захтева три чињенице: клијент има адресу из новог базена, LAN домаћин може да га достигне и добије одговор, а одбијено одредиште остаје одбијено. Свака има своју проверу, зато отказ указује на доделу, рутирање или политику. Извршите их тим редом.

Са клијента потврдите адресу и путању до једног LAN домаћина:

ipconfig | findstr /i "IPv4"
route print -4

Са LAN домаћина потврдите повратни пут и политику у једном пролазу. Ако ping не успева, али апликација ради, део који недостаје вероватно је ICMP правило, а не путања. Ако оба не успеју, прочитајте путању на домаћину пре уређивања VPN-а. Запишите три резултата у тикет промене да следећа особа почне од доказа.