Уграђени VPN у Windows-у не стиже до SSL пролаза добављача: зашто

Windows долази са четири типа тунела, а SSL пролаз добављача није један од њих. Ипак усмерите уграђени профил ка таквом пролазу и веза пада пре питања за акредитиве, обично са поруком да је везу прекинуо локални систем. Тај текст је сигнал неусклађености, а не дијагноза. Тип профила и клијент који поседује протокол морају да се поклопе, а један од њих недостаје.

Четири типа и један дијалог

Сваки сачувани профил носи тип тунела. Уграђени клијент прихвата PPTP, L2TP, IKEv2 и SSTP, уз аутоматски режим који их испробава редом. Нема општег уноса за SSL VPN и нема начина да се дода кроз дијалог. Пролаз добављача говори сопствени апликацијски протокол преко TLS-а, који примењује само клијент тог добављача.

Листа је на једну команду даљине и вреди је покренути пре сваког другог решавања проблема јер траје секунду и уклања целу класу погрешних претпоставки:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Ако профил каже SSTP, а пролаз није RRAS сервер, неусклађеност је већ утврђена. Никакав рад на сертификатима или заштитном зиду то не мења.

SSTP и TLS добављача изгледају исто на порту 443

SSTP увија PPP сесију у TLS и креће се по TCP 443. У Microsoft стековима је затвара RRAS, који представља серверски сертификат који клијент проверава. Уређај Fortinet, Citrix или Pulse такође затвара TLS на 443, а његов портал се отвара у сваком прегледачу без притужбе.

Тај тест у прегледачу доказује доступност, а не компатибилност. Сесијски протокол иза портала припада добављачу, а уграђени клијент нема његову имплементацију. Да ли добављач испоручује сопствени клијент говори вам са којом половином неусклађености имате посла.

Догађа се и обрнута забуна. Профил подешен као SSTP према правом RRAS серверу може да падне на провери сертификата док је портал у реду, а то је проблем са сертификатом, не са протоколом.

Грешке које се појављују пре него што тунел постоји

Кодови серије 800 пријављују се пре успостављања било каквог тунела, зато их правила заштитног зида ретко померају. Грешка 812 је серверска политика која одбија метод аутентификације који је клијент понудио. Остали у том опсегу долазе од локалног менаџера веза, а не од мреже.

Укључите праћење пре него што било шта поново изградите. Праћење именује фазу која пада, а име фазе вреди више од текста у дијалогу:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Трагови завршавају у директоријуму за праћење и остају тамо док их не очистите, зато га после искључите уместо да га оставите да ради недељама.

Повезан профил ипак може све да поквари

Профил који се повеже и затим поквари прегледање, локално дељење или контејнерски мотор има проблем са рутирањем, не са тунелом. Подразумевани пролаз се преселио у тунел, па свако одредиште сада иде преко партнера који га можда не рутира.

Две поставке то одлучују. Једна је својство split tunneling на профилу. Друга је опција за сваки адаптер да користи подразумевани пролаз на удаљеној мрежи, која је у напредним подешавањима IPv4.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Укључивање split tunneling-а без додавања рута даје тунел који се повезује и ништа не достиже. Искључивање без провере DNS-а даје унутрашња имена која се разрешавају у јавне одговоре, јер се сопствени суфикс и сервери адаптера не користе.

Прво проверите инсталацију, затим тип

Радите овим редом и зауставите се када корак падне, уместо да све подешавате одједном:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Прва команда раздваја доступност од протокола. Друга потврђује шта профил тврди да јесте. Табела рута показује да ли је тунел преузео подразумевану руту. Команда за бирање пријављује сопствену грешку менаџера веза, која је често јаснија од дијалога.

Забележите у тикету тип тунела, производ пролаза и тачну грешку. Следећа особа тада за минут зна да ли је то неусклађеност протокола, отказ сертификата или одлука о рутирању, уместо да почне од „VPN не ради“.