Vilket RRAS-platsgränssnitt väljer en inkommande tunnel?
RRAS väljer ett inkommande platsgränssnitt efter peer-adress, användarnamn eller certifikatets ämne, så läs den nyckeln skilt från tillstånden aktiverad och ansluten.
På en Windows-server med flera plats-till-plats-gränssnitt är en konsolletikett inte bara en anteckning för människor. RRAS använder ett visst fält från den inkommande anslutningen för att avgöra vilket logiskt gränssnitt som svarar, och det fältet ändras med autentiseringsmetoden. Tar du fel nyckel kommer du att byta namn på gränssnitt tills något ansluter av en slump. Urvalsregeln, det administrativa tillståndet och sessionstillståndet är tre separata fakta, och bara en av dem handlar om namngivning.
Myten: ett omdöpt gränssnitt matchar vad som helst
Den frestande rättelsen när en filial inte kan ansluta är att skapa eller byta namn på ett platsgränssnitt tills det liknar den som ringer. Det fungerar för en autentiseringsmetod och misslyckas tyst för de andra, och därför går samma procedur vidare med motstridiga resultat. Ett platsgränssnitt är ett logiskt anslutningsobjekt med egen destination, skyddade prefix och tillstånd. Det är inte den fysiska adaptern som bär de krypterade paketen, så en titt på nätverksadaptrar säger ingenting om vilket platsobjekt som valdes.
Urvalet har inte heller något med vanliga fjärråtkomstsanvändare att göra. Om anställdas VPN-klienter ringer in har de en annan roll, och deras användarnamn deltar aldrig i denna mappning. Bekräfta vilken roll den som ringer tillhör innan du läser in något i ett bekant namn.
Tre autentiseringsformer, tre urvalsnycklar
Med en i förväg delad nyckel jämförs gränssnittets konfigurerade destinationsadress med adressen för den inkommande peeren. Etiketten kan vara vad som helst, eftersom adressen bär beslutet. Med användarnamnsbaserad autentisering jämförs gränssnittets namn med det användarnamn som den som ringer presenterar. Här är etiketten nyckeln, och det är just därför ett namnbyte kan se ut att laga en plats och förstöra en annan.
Med certifikat jämförs gränssnittets namn med ämnesnamnet i det presenterade certifikatet. Namnet måste motsvara det ämnet, och en vacker etikett som en operatör hittar på duger inte.
Två konsekvenser följer. I uppsättningen med i förväg delad nyckel kan bara ett gränssnitt vara aktiverat för en given destination, så två filialer som delar en observerad offentlig adress kan inte båda betjänas av dubblerade poster. Och den metod du faktiskt konfigurerade är den som gäller, vad konsolen än antyder.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Aktiverad är inte ansluten
Administrativ status säger om det logiska gränssnittet får arbeta. Anslutningstillstånd säger om det finns en session just nu. Ett aktiverat gränssnitt utan session är ett normalt vilotillstånd för en förbindelse som ringer upp på begäran, och att rapportera det som fel skickar folk att jaga ett avbrott som inte finns.
Använd en namngiven sökning eller den dokumenterade sökningen i routingdomänen, men inte båda parametrarna tillsammans, och kör den i den avsedda serverkontexten. Om gränssnittet du förväntar dig saknas i den första listan ligger problemet före tillståndet: ingenting valdes alls.
Läs paret tillsammans i stället för isolerat. En förbindelse som ska förbli upprättad och visas som frånkopplad förtjänar utredning, medan en ledig förbindelse som ansluter på begäran beter sig som designat. Under tiden förblir ett administrativt inaktiverat gränssnitt mörkt, hur många gånger den andra sidan än startar om sin router.
Ingen av värdena bevisar att autentiseringen lyckades, att det förhandlade skyddet stämmer, att rutter installerades eller att det privata programmet är tillåtet. Det är fyra olika frågor med fyra olika svar.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateLäs identitetstransaktionen innan du aktiverar något
När en inkommande den som ringer mappas till ett gränssnitt du inte förväntade dig är det användbara beviset identiteten den presenterade, inte listan över inaktiverade gränssnitt. Hämta de senaste fjärråtkomsthändelserna och läs adressen för den som ringer, autentiseringsresultatet och namnet på det valda gränssnittet. Ett inaktiverat gränssnitt kan vara en medvetet avvecklad plats eller en förbjuden partner. Att aktivera det för att se om ett inloggningsfel försvinner är en konfigurationsändring med konsekvenser för routing och åtkomst, så led beslutet genom ägaren till den platsrelationen, tillsammans med dess destination, skyddade prefix och policy.
Om mappningen verkligen är fel, rätta nyckeln och inte symptomet: rätta certifikatets ämne eller, i användarnamnsfallet, gränssnittets namn, och i fallet med i förväg delad nyckel destinationen. Anslut sedan igen en gång och bekräfta att samma den som ringer nu väljer det avsedda objektet.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Slut slingan med en tillåten operation
Ett grönt tillstånd är inte ett godkännande. När rätt gränssnitt har valts, generera trafik som designen tillåter, från en värd i ett skyddat prefix till en värd i det andra, och bekräfta att svaret kommer tillbaka samma väg. Kör samma försök från en värd som borde avvisas, med hjälp av Test-NetConnection -ComputerName 10.44.2.10 -Port 445 mot en tjänst som designen utesluter, och läs fjärråtkomsthändelserna igen. En platsförbindelse som bär mer än sina avsedda prefix, eller som svarar för en tjänst som policyn utesluter, är ett routingfel som ingen tillståndskontroll kommer att avslöja.
Skriv ned autentiseringsmetoden, urvalsnyckeln och de tillåtna prefixen tillsammans i platsens driftmanual. Nästa ingenjör möter samma tabell med tre värden, och namnkonventionen ger bara mening när det sammanhanget är nedskrivet.