อุโมงค์ขาเข้าจะเลือกอินเทอร์เฟซไซต์ RRAS ตัวใด
RRAS เลือกอินเทอร์เฟซไซต์ขาเข้าจากที่อยู่ของเพียร์ ชื่อผู้ใช้ หรือหัวเรื่องของใบรับรอง ดังนั้นควรอ่านคีย์นั้นแยกจากสถานะเปิดใช้งานและการเชื่อมต่อ
บนเซิร์ฟเวอร์ Windows ที่มีอินเทอร์เฟซไซต์ถึงไซต์หลายตัว ป้ายในคอนโซลไม่ใช่แค่บันทึกสำหรับมนุษย์ RRAS ใช้ฟิลด์เฉพาะจากการเชื่อมต่อขาเข้าเพื่อตัดสินว่าอินเทอร์เฟซเชิงตรรกะใดจะตอบ และฟิลด์นั้นเปลี่ยนตามวิธีรับรองความถูกต้อง หากใช้คีย์ผิด คุณจะเปลี่ยนชื่ออินเทอร์เฟซไปเรื่อย ๆ จนมีบางอย่างเชื่อมต่อได้โดยบังเอิญ กฎการเลือก สถานะการดูแลระบบ และสถานะเซสชันเป็นข้อเท็จจริงสามอย่างที่แยกกัน และมีเพียงอย่างเดียวที่เกี่ยวกับการตั้งชื่อ
ความเชื่อผิด: อินเทอร์เฟซที่เปลี่ยนชื่อแล้วจะตรงกับอะไรก็ได้
วิธีแก้ที่ชวนให้หลงผิดเมื่อสาขาเชื่อมต่อไม่ได้คือสร้างหรือเปลี่ยนชื่ออินเทอร์เฟซไซต์จนกว่าจะดูคล้ายผู้เรียก วิธีนั้นได้ผลกับวิธีรับรองความถูกต้องแบบเดียวและล้มเหลวอย่างเงียบ ๆ กับแบบอื่น จึงมีผู้นำขั้นตอนเดิมไปใช้ต่อด้วยผลลัพธ์ที่ขัดแย้งกัน อินเทอร์เฟซไซต์เป็นวัตถุการเชื่อมต่อเชิงตรรกะที่มีปลายทางของตัวเอง มีพรีฟิกซ์ที่ได้รับการป้องกัน และมีสถานะ ไม่ใช่อะแดปเตอร์กายภาพที่บรรทุกแพ็กเก็ตที่เข้ารหัส ดังนั้นการดูอะแดปเตอร์เครือข่ายจึงไม่บอกอะไรเกี่ยวกับวัตถุไซต์ที่ถูกเลือก
การเลือกยังไม่เกี่ยวข้องกับผู้ใช้การเข้าถึงระยะไกลทั่วไป หากไคลเอนต์ VPN ของพนักงานโทรเข้ามา พวกเขามีบทบาทอื่น และชื่อผู้ใช้ของพวกเขาไม่เคยมีส่วนในการแมปนี้ ยืนยันว่าผู้เรียกอยู่ในบทบาทใดก่อนจะอ่านสิ่งใดจากชื่อที่คุ้นเคย
สามรูปแบบการรับรองความถูกต้อง สามคีย์การเลือก
ด้วยคีย์ที่แชร์ไว้ล่วงหน้า ที่อยู่ปลายทางที่กำหนดค่าไว้ของอินเทอร์เฟซจะถูกนำไปเทียบกับที่อยู่ของเพียร์ขาเข้า ป้ายกำกับจะเป็นอะไรก็ได้ เพราะที่อยู่เป็นตัวนำการตัดสินใจ ด้วยการรับรองความถูกต้องตามชื่อผู้ใช้ ชื่ออินเทอร์เฟซจะถูกเทียบกับชื่อผู้ใช้ที่ผู้เรียกนำเสนอ ที่นี่ป้ายกำกับคือคีย์ และนั่นคือเหตุผลที่การเปลี่ยนชื่ออาจดูเหมือนแก้ไซต์หนึ่งและทำอีกไซต์เสีย
ด้วยใบรับรอง ชื่ออินเทอร์เฟซจะถูกเทียบกับชื่อหัวเรื่องในใบรับรองที่นำเสนอ ชื่อต้องตรงกับหัวเรื่องนั้น และป้ายกำกับสวย ๆ ที่ผู้ดูแลคิดขึ้นเองใช้ไม่ได้
มีผลตามมาสองประการ ในรูปแบบคีย์ที่แชร์ไว้ล่วงหน้า อินเทอร์เฟซที่เปิดใช้งานได้สำหรับปลายทางหนึ่งมีได้เพียงตัวเดียว สองสาขาที่ใช้ที่อยู่สาธารณะที่สังเกตได้เดียวกันจึงไม่สามารถให้บริการทั้งคู่ด้วยรายการซ้ำได้ และวิธีที่คุณกำหนดค่าไว้จริงเป็นวิธีที่มีผล ไม่ว่าคอนโซลจะแนะนำอะไร
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
เปิดใช้งานไม่ใช่เชื่อมต่อแล้ว
สถานะการดูแลระบบบอกว่าอินเทอร์เฟซเชิงตรรกะได้รับอนุญาตให้ทำงานหรือไม่ สถานะการเชื่อมต่อบอกว่ามีเซสชันอยู่ตอนนี้หรือไม่ อินเทอร์เฟซที่เปิดใช้งานแต่ไม่มีเซสชันเป็นสภาวะพักปกติของลิงก์ที่หมุนโทรตามต้องการ และการรายงานว่าเป็นความขัดข้องจะทำให้ผู้คนไล่ตามการหยุดชะงักที่ไม่มีอยู่
ใช้การค้นหาตามชื่อหรือการค้นหาโดเมนเส้นทางตามเอกสาร แต่ไม่ใช้ทั้งสองพารามิเตอร์พร้อมกัน และรันในบริบทเซิร์ฟเวอร์ที่ตั้งใจไว้ หากอินเทอร์เฟซที่คุณคาดไว้ไม่อยู่ในรายการแรก ปัญหาอยู่ก่อนสถานะ คือไม่มีอะไรถูกเลือกเลย
อ่านคู่สถานะนี้ด้วยกัน ไม่ใช่แยกกัน ลิงก์ที่ควรคงสถานะเชื่อมต่อไว้แต่แสดงว่าตัดการเชื่อมต่อสมควรได้รับการตรวจสอบ ขณะที่ลิงก์ที่หมุนโทรตามต้องการและไม่ได้ใช้งานทำงานตามที่ออกแบบไว้ ในขณะเดียวกันอินเทอร์เฟซที่ถูกปิดใช้งานโดยผู้ดูแลจะยังคงมืดไม่ว่าฝั่งตรงข้ามจะรีสตาร์ทเราเตอร์กี่ครั้ง
ค่าใดค่าหนึ่งไม่ได้พิสูจน์ว่าการรับรองความถูกต้องสำเร็จ การป้องกันที่เจรจาตรงกัน มีการติดตั้งเส้นทาง หรือแอปพลิเคชันส่วนตัวได้รับอนุญาต สิ่งเหล่านี้เป็นคำถามสี่ข้อที่ต่างกันพร้อมคำตอบสี่ข้อที่ต่างกัน
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateอ่านธุรกรรมระบุตัวตนก่อนจะเปิดใช้งานสิ่งใด
เมื่อผู้เรียกขาเข้าถูกแมปไปยังอินเทอร์เฟซที่คุณไม่ได้คาดไว้ หลักฐานที่มีประโยชน์คือตัวตนที่เขานำเสนอ ไม่ใช่รายการอินเทอร์เฟซที่ปิดใช้งาน อินเทอร์เฟซที่ปิดใช้งานอาจเป็นไซต์ที่ปลดระวางโดยเจตนาหรือพันธมิตรที่ถูกห้าม การเปิดใช้งานเพื่อดูว่าข้อผิดพลาดการเข้าสู่ระบบหนึ่งรายการจะหายไปหรือไม่เป็นการเปลี่ยนแปลงการกำหนดค่าที่มีผลต่อเส้นทางและการเข้าถึง จึงควรส่งการตัดสินใจผ่านเจ้าของความสัมพันธ์ไซต์นั้น พร้อมกับปลายทาง พรีฟิกซ์ที่ได้รับการป้องกัน และนโยบาย
หากการแมปผิดจริง ให้แก้คีย์ไม่ใช่อาการ แก้หัวเรื่องใบรับรอง หรือในกรณีชื่อผู้ใช้ให้แก้ชื่ออินเทอร์เฟซ และในกรณีคีย์ที่แชร์ไว้ล่วงหน้าให้แก้ปลายทาง จากนั้นเชื่อมต่อใหม่หนึ่งครั้งและยืนยันว่าผู้เรียกรายเดิมเลือกวัตถุที่ตั้งใจไว้แล้ว
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }ปิดวงจรด้วยการดำเนินการที่ได้รับอนุญาต
สถานะสีเขียวไม่ใช่การยอมรับ เมื่อเลือกอินเทอร์เฟซที่ถูกต้องแล้ว ให้สร้างทราฟฟิกที่การออกแบบอนุญาต จากโฮสต์ในพรีฟิกซ์ที่ได้รับการป้องกันหนึ่งไปยังโฮสต์ในอีกพรีฟิกซ์หนึ่ง และยืนยันว่าคำตอบกลับมาทางเส้นทางเดิม ทำการทดลองเดียวกันจากโฮสต์ที่ควรถูกปฏิเสธ โดยใช้ Test-NetConnection -ComputerName 10.44.2.10 -Port 445 กับบริการที่การออกแบบตัดออก และอ่านเหตุการณ์การเข้าถึงระยะไกลอีกครั้ง ลิงก์ไซต์ที่บรรทุกเกินพรีฟิกซ์ที่ตั้งใจไว้ หรือตอบบริการที่นโยบายตัดออก เป็นข้อผิดพลาดด้านเส้นทางที่การตรวจสอบสถานะใดก็ไม่เปิดเผย
บันทึกวิธีรับรองความถูกต้อง คีย์การเลือก และพรีฟิกซ์ที่ได้รับอนุญาตไว้ด้วยกันในคู่มือปฏิบัติงานของไซต์ วิศวกรคนถัดไปจะพบตารางสามค่าที่เหมือนกัน และธรรมเนียมการตั้งชื่อจะมีความหมายก็ต่อเมื่อบริบทนั้นถูกเขียนไว้