Који RRAS интерфејс локације бира долазни тунел?
RRAS бира долазни интерфејс локације према адреси партнера, корисничком имену или субјекту сертификата, зато тај кључ читајте одвојено од стања омогућено и повезано.
На Windows серверу са неколико интерфејса локација-са-локацијом, ознака у конзоли није само напомена за људе. RRAS користи одређено поље из долазне везе да одлучи који логички интерфејс одговара, и то поље се мења са методом провере идентитета. Ако погрешите кључ, преименоваћете интерфејсе док се нешто случајно не повеже. Правило избора, административно стање и стање сесије су три одвојене чињенице, и само једна од њих тиче се именовања.
Мит: преименовани интерфејс ће се поклопити са било чим
Заводљива исправка када огранак не може да се повеже је да направите или преименујете интерфејс локације док не почне да личи на онога који зове. То ради за једну методу провере идентитета, а тихо отказује за остале, зато се исти поступак преноси са противречним резултатима. Интерфејс локације је логички објекат везе са сопственим одредиштем, заштићеним префиксима и стањем. То није физички адаптер који носи шифроване пакете, па гледање у мрежне адаптере не говори ништа о томе који је објекат локације изабран.
Избор такође нема никакве везе са обичним корисницима удаљеног приступа. Ако се јављају VPN клијенти запослених, они имају другу улогу, и њихова корисничка имена никада не учествују у овом мапирању. Потврдите којој улози припада онај који зове пре него што било шта прочитате у познато име.
Три облика провере идентитета, три кључа избора
Са унапред подељеним кључем, конфигурисана одредишна адреса интерфејса пореди се са адресом долазног партнера. Ознака може бити било шта, јер одлуку носи адреса. Код провере идентитета по корисничком имену, назив интерфејса се пореди са корисничким именом које представља онај који зове. Овде је ознака кључ, и баш зато преименовање може изгледати као да поправља једну локацију, а квари другу.
Са сертификатима, назив интерфејса се пореди са називом субјекта у представљеном сертификату. Назив мора да одговара том субјекту, и лепа ознака коју измисли оператер неће бити довољна.
Из тога следе две последице. У поставци са унапред подељеним кључем за дато одредиште може бити омогућен само један интерфејс, па две филијале које деле једну посматрану јавну адресу не могу обе бити опслужене дуплим записима. И влада онај метод који сте заиста конфигурисали, шта год конзола предлагала.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Омогућено није повезано
Административни статус каже да ли логичком интерфејсу је дозвољено да ради. Стање везе каже да ли сесија постоји управо сада. Омогућен интерфејс без сесије је нормално стање мировања за везу која се позива на захтев, и пријављивање тога као квара шаље људе да јуре прекид којег нема.
Користите именовану претрагу или документовану претрагу по домену рутирања, али не оба параметра заједно, и извршите је у предвиђеном контексту сервера. Ако очекивани интерфејс недостаје у првој листи, проблем је пре стања: ништа уопште није изабрано.
Читајте пар заједно, а не одвојено. Веза која треба да остане успостављена и приказује се као прекинута заслужује истрагу, док неактивна веза која се повезује на захтев ради како је пројектовано. У међувремену ће административно онемогућен интерфејс остати мрачан, колико год пута друга страна рестартује свој рутер.
Ниједна од тих вредности не доказује да је провера идентитета успела, да се договорена заштита поклапа, да су руте инсталиране или да је приватној апликацији дозвољено. То су четири различита питања са четири различита одговора.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateПрочитајте трансакцију идентитета пре него што било шта омогућите
Када се долазни онај који зове мапира на интерфејс који нисте очекивали, користан доказ је идентитет који је представио, а не листа онемогућених интерфејса. Извуците недавне догађаје удаљеног приступа и прочитајте адресу онога који зове, исход провере идентитета и назив изабраног интерфејса. Онемогућен интерфејс може бити намерно повучена локација или забрањен партнер. Омогућити га да видите да ли једна грешка пријаве нестаје је промена конфигурације са последицама по рутирање и приступ, зато спроведите одлуку кроз власника тог односа локације, заједно са његовим одредиштем, заштићеним префиксима и политиком.
Ако је мапирање заиста погрешно, исправите кључ, а не симптом: исправите субјекат сертификата или у случају корисничког имена назив интерфејса, а у случају унапред подељеног кључа одредиште. Затим се једном поново повежите и потврдите да исти онај који зове сада бира предвиђени објекат.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Затворите циклус дозвољеном операцијом
Зелено стање није прихватање. Када је прави интерфејс изабран, генеришите саобраћај који пројекат дозвољава, од хоста у једном заштићеном префиксу до хоста у другом, и потврдите да се одговор враћа истим путем. Извршите исти покушај са хоста који треба да буде одбијен, користећи Test-NetConnection -ComputerName 10.44.2.10 -Port 445 против услуге коју пројекат искључује, и поново прочитајте догађаје удаљеног приступа. Веза локације која носи више од својих предвиђених префикса или одговара за услугу коју политика искључује је грешка у рутирању коју ниједна провера стања неће открити.
Запишите метод провере идентитета, кључ избора и дозвољене префиксе заједно у оперативни приручник локације. Следећи инжењер ће наићи на исту табелу са три вредности, и конвенција именовања има смисла само када је тај контекст записан.