Aling RRAS site interface ang pinipili ng papasok na tunnel?
Pinipili ng RRAS ang papasok na site interface sa pamamagitan ng peer address, username o subject ng certificate, kaya basahin ang key na iyon nang hiwalay sa mga estado nitong naka-enable at konektado.
Sa isang Windows server na may ilang site-to-site interface, ang label sa console ay hindi lamang tala para sa mga tao. Gumagamit ang RRAS ng partikular na field mula sa papasok na koneksyon upang magpasya kung aling logical interface ang sasagot, at nagbabago ang field na iyon kasama ang paraan ng authentication. Kung mali ang key, papalitan mo ng pangalan ang mga interface hanggang may kusang kumonekta. Ang tuntunin sa pagpili, administratibong estado at estado ng session ay tatlong hiwalay na katotohanan, at isa lamang sa kanila ang tungkol sa pagpapangalan.
Ang mito: ang interface na pinangalanang muli ay tutugma sa kahit ano
Ang tuksong pagwawasto kapag hindi makakonekta ang sangay ay gumawa o magpalit ng pangalan ng site interface hanggang maging kamukha ito ng tumatawag. Gumagana ito sa isang paraan ng authentication at tahimik na bigo sa iba, kaya’t ang parehong pamamaraan ay ipinapasa na may magkasalungat na resulta. Ang site interface ay isang logical na bagay ng koneksyon na may sariling destinasyon, protektadong prefix at estado. Hindi ito ang pisikal na adapter na nagdadala ng naka-encrypt na packet, kaya ang pagtingin sa mga network adapter ay walang sinasabi tungkol sa kung aling site object ang napili.
Ang pagpili ay walang kinalaman din sa mga karaniwang user ng remote access. Kung tumatawag ang mga VPN client ng mga empleyado, iba ang kanilang papel, at hindi kailanman kasali ang kanilang username sa mapping na ito. Kumpirmahin kung anong papel ang kinabibilangan ng tumatawag bago magbasa ng anuman sa isang pamilyar na pangalan.
Tatlong anyo ng authentication, tatlong key sa pagpili
Sa pre-shared key, ang naka-configure na destinasyong address ng interface ay inihahambing sa address ng papasok na peer. Anuman ang label, dahil ang address ang nagdadala ng desisyon. Sa authentication na batay sa username, ang pangalan ng interface ay inihahambing sa username na inihaharap ng tumatawag. Dito ang label ang key, at iyon mismo ang dahilan kung bakit ang pagpapalit ng pangalan ay maaaring magmukhang inaayos ang isang site at sinisira ang isa.
Sa mga certificate, ang pangalan ng interface ay inihahambing sa pangalan ng subject sa inihandang certificate. Dapat tumugma ang pangalan sa subject na iyon, at hindi sapat ang magandang label na imbento ng operator.
Dalawang bunga ang sumusunod. Sa ayos na pre-shared key, isang interface lamang ang maaaring i-enable para sa isang partikular na destinasyon, kaya ang dalawang sangay na nagbabahagi ng isang naobserbahang pampublikong address ay hindi maaaring parehong pagsilbihan ng dobleng entry. At ang paraang aktwal mong na-configure ang siyang umiiral, anuman ang iminumungkahi ng console.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Naka-enable ay hindi konektado
Sinasabi ng administratibong estado kung pinapayagan ang logical interface na gumana. Sinasabi ng estado ng koneksyon kung may session ngayon. Ang naka-enable na interface na walang session ay normal na estado ng pahinga para sa link na tumatawag kapag kailangan, at ang pag-uulat nito bilang sira ay nagpapahabol sa mga tao sa pagkawala ng serbisyo na wala naman.
Gamitin ang search na may pangalan o ang dokumentadong search sa routing domain, ngunit hindi ang dalawang parameter nang sabay, at patakbuhin ito sa inaasahang konteksto ng server. Kung wala ang interface na inaasahan mo sa unang listahan, ang problema ay nasa unahan ng estado: wala talagang napili.
Basahin ang pares nang sabay at hindi hiwalay. Ang link na dapat manatiling nakatayo at lumalabas na nakadiskonekta ay karapat-dapat imbestigahan, samantalang ang tuluyan na link na kumokonekta kapag kailangan ay umaasal ayon sa disenyo. Samantala, ang interface na hindi pinagana sa administrasyon ay mananatiling madilim, gaano man kadalas i-restart ng kabilang panig ang router nito.
Wala sa dalawang halaga ang nagpapatunay na nagtagumpay ang authentication, tumutugma ang napagkasunduang proteksyon, na-install ang mga ruta o pinapayagan ang pribadong aplikasyon. Apat na magkaibang tanong iyon na may apat na magkaibang sagot.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateBasahin ang transaksyon ng pagkakakilanlan bago mag-enable ng anuman
Kapag ang papasok na tumatawag ay namapa sa isang interface na hindi mo inaasahan, ang kapaki-pakinabang na ebidensya ay ang pagkakakilanlang inihandog niya, hindi ang listahan ng mga hindi pinaganang interface. Kunin ang mga kamakailang kaganapan ng remote access at basahin ang address ng tumatawag, ang resulta ng authentication at ang pangalan ng napiling interface. Ang hindi pinaganang interface ay maaaring sadyang itinigil na site o ipinagbabawal na partner. Ang pag-enable nito upang tingnan kung mawawala ang isang error sa pag-login ay pagbabago sa configuration na may bunga sa routing at access, kaya ipadaan ang desisyon sa may-ari ng ugnayang iyon ng site, kasama ang destinasyon, mga protektadong prefix at patakaran nito.
Kung talagang mali ang mapping, ituwid ang key at hindi ang sintomas: ituwid ang subject ng certificate o, sa kaso ng username, ang pangalan ng interface, at sa kaso ng pre-shared key, ang destinasyon. Pagkatapos kumonekta muli nang isang beses at kumpirmahin na pinipili na ng parehong tumatawag ang inaasahang bagay.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Isara ang loop sa isang pinapayagang operasyon
Ang berdeng estado ay hindi pagtanggap. Kapag napili na ang tamang interface, gumawa ng trapikong pinapayagan ng disenyo, mula sa host sa isang protektadong prefix patungo sa host sa isa, at kumpirmahin na bumabalik ang sagot sa parehong landas. Patakbuhin ang parehong pagtatangka mula sa host na dapat tanggihan, gamit ang Test-NetConnection -ComputerName 10.44.2.10 -Port 445 laban sa serbisyong hindi kasama ng disenyo, at basahin muli ang mga kaganapan ng remote access. Ang link ng site na nagdadala ng higit sa inaasahang prefix, o sumasagot para sa serbisyong hindi kasama ng patakaran, ay pagkakamali sa routing na hindi ibubunyag ng anumang pagsusuri ng estado.
Itala ang paraan ng authentication, ang key sa pagpili at ang mga pinapayagang prefix nang sabay sa manwal ng operasyon ng site. Ang susunod na inhinyero ay makakatagpo ng parehong talahanayan na may tatlong halaga, at ang kumbensyon sa pagpapangalan ay may saysay lamang kapag nakasulat na ang kontekstong iyon.