VPN iliyojengwa ndani ya Windows haifikii lango la SSL la muuzaji: kwa nini

Windows huja na aina nne za handaki, na lango la SSL la muuzaji si moja wao. Elekeza wasifu uliojengwa ndani kwenye lango kama hilo, na muunganisho unashindikana kabla ya ombi la vitambulisho, kwa kawaida ukiwa na ujumbe kwamba mfumo wa ndani ulisitisha muunganisho. Maandishi hayo ni ishara ya kutokubaliana, si utambuzi. Aina ya wasifu na mteja anayemiliki itifaki lazima zilingane, na mmoja wao hayupo.

Aina nne na mazungumzo moja

Kila wasifu uliohifadhiwa hubeba aina ya handaki. Mteja aliyejengwa ndani hukubali PPTP, L2TP, IKEv2 na SSTP, pamoja na hali ya kiotomatiki inayozijaribu kwa mpangilio. Hakuna kiingilio cha jumla cha SSL VPN, na hakuna njia ya kuongeza kimoja kupitia mazungumzo. Lango la muuzaji huzungumza itifaki yake ya programu juu ya TLS, ambayo mteja wa muuzaji huyo pekee huitekeleza.

Orodha iko umbali wa amri moja, na inafaa kuiendesha kabla ya utatuzi mwingine wowote wa matatizo kwa sababu inachukua sekunde moja na kuondoa tabaka zima la dhana potofu:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Ikiwa wasifu unasema SSTP na lango si seva ya RRAS, kutokubaliana tayari kumethibitika. Hakuna kazi ya vyeti au ukuta wa moto inayobadilisha hilo.

SSTP na TLS ya muuzaji zinaonekana sawa kwenye bandari 443

SSTP hufunika kipindi cha PPP ndani ya TLS na kusafiri kwa TCP 443. Katika mkusanyiko wa Microsoft hukamilishwa na RRAS, ambayo huwasilisha cheti cha seva ambacho mteja huthibitisha. Kifaa cha Fortinet, Citrix au Pulse pia hukamilisha TLS kwenye 443, na lango lake hufunguka katika kivinjari chochote bila malalamiko.

Jaribio hilo la kivinjari huthibitisha ufikikaji, si upatanifu. Itifaki ya kipindi nyuma ya lango ni mali ya muuzaji, na mteja aliyejengwa ndani hana utekelezaji wake wowote. Ikiwa muuzaji hutoa mteja wake mwenyewe hukuambia ni nusu gani ya kutokubaliana unayoshughulika nayo.

Machafuko ya kinyume pia hutokea. Wasifu uliowekwa kama SSTP dhidi ya seva halisi ya RRAS unaweza kushindikana katika uthibitisho wa cheti wakati lango liko sawa, na hilo ni tatizo la cheti, si tatizo la itifaki.

Makosa yanayotokea kabla handaki haijakuwepo

Misimbo ya mfululizo wa 800 huripotiwa kabla ya handaki yoyote kuanzishwa, ndiyo sababu kanuni za ukuta wa moto mara chache huzihamisha. Kosa 812 ni sera ya upande wa seva inayokataa mbinu ya uthibitishaji iliyotolewa na mteja. Mengine katika safu hiyo hutoka kwa msimamizi wa muunganisho wa ndani, si kutoka kwa mtandao.

Washa ufuatiliaji kabla ya kujenga upya kitu chochote. Ufuatiliaji hutaja hatua inayoshindikana, na jina la hatua lina thamani zaidi kuliko maandishi ya mazungumzo:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Ufuatiliaji huishia chini ya saraka ya ufuatiliaji na hubaki hapo hadi uifute, kwa hivyo uzime baadaye badala ya kuiacha ikifanya kazi kwa wiki nyingi.

Wasifu uliounganishwa bado unaweza kuvunja kila kitu

Wasifu unaounganisha na kisha kuvunja uvinjari, ushirikiano wa ndani au injini ya kontena una tatizo la uelekezaji, si tatizo la handaki. Lango la chaguo-msingi lilihamia kwenye handaki, kwa hivyo kila lengwa sasa hupitia mwenza ambaye huenda asilielekeze.

Vidhibiti viwili huamua hili. Kimoja ni sifa ya split tunneling kwenye wasifu. Kingine ni chaguo la kila adapta la kutumia lango la chaguo-msingi kwenye mtandao wa mbali, ambalo liko chini ya mipangilio ya juu ya IPv4.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Kuwasha split tunneling bila kuongeza njia huzalisha handaki inayounganisha na haifikii chochote. Kuizima bila kukagua DNS huzalisha majina ya ndani yanayotatuliwa kuwa majibu ya umma, kwa sababu kiambishi na seva za adapta yenyewe hazitumiki.

Thibitisha mabomba kwanza, kisha aina

Fanya kazi kwa mpangilio huu, na simama hatua inaposhindikana badala ya kurekebisha kila kitu kwa mara moja:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Amri ya kwanza hutenganisha ufikikaji na itifaki. Ya pili huthibitisha wasifu unadai kuwa nini. Jedwali la njia huonyesha kama handaki ilikamata njia ya chaguo-msingi. Amri ya kupiga simu huripoti kosa la msimamizi wa muunganisho mwenyewe, ambalo mara nyingi ni wazi zaidi kuliko mazungumzo.

Rekodi aina ya handaki, bidhaa ya lango na kosa kamili kwenye tiketi. Kisha mtu anayefuata anajua ndani ya dakika moja kama hii ni kutokubaliana kwa itifaki, kushindwa kwa cheti au uamuzi wa uelekezaji, badala ya kuanza na “VPN haifanyi kazi”.