GVC fastnar på Acquiring IP: det är inte ett lösenordsproblem

Global VPN Client stannar på Acquiring IP, och reflexen är att skriva lösenordet igen eller installera om klienten. Ingen av dem rör steget som misslyckades. Autentiseringen var klar innan klienten ens bad om en adress, så det är inte inloggningsuppgifterna som håller dig på den raden. Det som håller dig där är ett DHCP-utbyte som inte är klart, och det kan fastna på tre olika ställen.

Autentisering och adresstilldelning är separata steg

GVC bevisar först vem du är och begär sedan inställningarna för sin virtuella adapter enligt den policy som tilldelats din anslutning. Det är sekventiella steg med olika felsignaturer. Dåliga inloggningsuppgifter misslyckas oftast tidigare, med ett autentiserings- eller förhandlingsmeddelande i stället för adressraden.

Den ordningen förklarar varför en återställning av lösenordet, en ny lokal användare eller en ominstallation inte ändrar något här. Klienten är redan auktoriserad; nu väntar den på en lease som gatewayen eller dess DHCP-partner måste leverera. Även en policy som tillåter användaren men inte tilldelar något adressområde ger exakt den här skärmen.

Så den första användbara frågan är inte om inloggningsuppgifterna är rätt, utan vilken policy som tilldelats och vad den säger om adresseringen av den virtuella adaptern. Läs den effektiva konfigurationen för den anslutningen i stället för en fungerande skärmbild från en kollega.

Var leasen faktiskt kommer ifrån

Två modeller är vanliga. Brandväggen kan själv köra ett DHCP-område för VPN-klienter, eller vidarebefordra begäran till en extern DHCP-server i det interna nätet. Modellen avgör vilka loggar som spelar roll och vem du ska ringa.

I den interna modellen ska du kontrollera att området fortfarande finns, hör till rätt gränssnitt och har lediga leases. Ett uttömt område ger en klient som autentiserar perfekt och aldrig får en adress, och gateway-loggen visar kanske bara begäran. I relay-modellen måste relay-målet, vägen tillbaka till VPN-klientområdet och all intern DHCP-auktorisering stämma.

Skriv ned vilken modell din driftsättning använder innan du testar något. Hälften av de motstridiga råden på nätet förutsätter den andra.

En tunnel kan vara uppe och ändå tappa leasen

En etablerad kontrollanslutning bevisar att förhandlingen lyckades, inte att tunneltrafiken går åt båda hållen. DHCP-utbytet behöver begäran och svar för att överleva datavägen, och det är där krypteringsinställningar, policy för VPN-zonen och MTU-problem bor.

Rådet om NAT-traversal är det tydligaste exemplet på att sammanhanget spelar roll. Vissa vägar kräver det aktiverat, andra fungerar bara avstängt, och NAT:en däremellan tillsammans med den förhandlade anslutningen avgör vilket. Att ändra det blint medan du också ändrar klientinställningar innebär att du inte vet vilken ändring som gav resultatet. Anteckna den förhandlade vägen och bevisen innan du ändrar inkapslingen.

Att starta om hemroutern hör till samma kategori. Det tar ibland bort symtomet, men det identifierar inte varför leasen misslyckades, och problemet återkommer vid nästa anslutning.

Gå igenom lease-vägen i ordning

Börja vid adaptern och arbeta utåt, så att varje steg bara kan misslyckas av en anledning:

> Get-NetAdapter | Where-Object Name -like "*GVC*"
> ipconfig /all | findstr /i /c:"GVC" /c:"IPv4" /c:"DHCP"
> Test-NetConnection 10.60.0.1 -Port 443

En adress som 169.254.x.x betyder att adaptern finns och inte fick något svar alls, vilket pekar på lease-källan eller datavägen. En korrekt adress i VPN-området med felaktiga DNS-poster är ett annat fel: leasen fungerade och policyn gav ofullständiga inställningar. En adapter som aldrig dyker upp betyder att klienten inte kom så långt som att skapa den.

När en lease dyker upp ska du prova den faktiska resursen i stället för att utropa seger på adressraden. Om fil- eller intranätåtkomst fortfarande misslyckas, behåll den lyckade leasen som bevis och gå vidare till namnmatchning eller policy, eftersom du har lämnat det ursprungliga felet bakom dig.

SonicWalls kommentar om den virtuella adaptern listar flera separata grenar, och dess äldre skärmbilder bör inte läsas som den nuvarande menykartan. Använd den för att bekräfta steget du nådde, inte som en checklista att tillämpa i sin helhet.