Який інтерфейс сайту RRAS вибирає вхідний тунель?
RRAS вибирає вхідний інтерфейс сайту за адресою партнера, іменем користувача або суб’єктом сертифіката, тому читайте цей ключ окремо від станів увімкнено та підключено.
На сервері Windows з кількома інтерфейсами «сайт — сайт» мітка в консолі не просто нотатка для людей. RRAS використовує певне поле вхідного з’єднання, щоб вирішити, який логічний інтерфейс відповість, і це поле змінюється разом із методом автентифікації. Помилитеся з ключем — перейменовуватимете інтерфейси, доки щось не підключиться випадково. Правило вибору, адміністративний стан і стан сеансу — три окремі факти, і лише один із них про найменування.
Міф: перейменований інтерфейс підійде до будь-чого
Спокусливе виправлення, коли філія не підключається, — створювати або перейменовувати інтерфейс сайту, доки він не стане схожим на того, хто телефонує. Це працює для одного методу автентифікації й тихо відмовляє для інших, тому та сама процедура ходить далі із суперечливими результатами. Інтерфейс сайту — це логічний об’єкт з’єднання з власним призначенням, захищеними префіксами та станом. Це не фізичний адаптер, що несе зашифровані пакети, тож погляд на мережеві адаптери нічого не каже про те, який об’єкт сайту вибрано.
Вибір також жодним чином не стосується звичайних користувачів віддаленого доступу. Якщо телефонують VPN-клієнти працівників, у них інша роль, і їхні імена користувачів ніколи не беруть участі в цьому зіставленні. Підтвердьте, до якої ролі належить той, хто телефонує, перш ніж щось читати у знайомому імені.
Три форми автентифікації, три ключі вибору
Із заздалегідь спільним ключем налаштована адреса призначення інтерфейсу порівнюється з адресою вхідного партнера. Мітка може бути будь-якою, бо рішення несе адреса. За автентифікації за іменем користувача ім’я інтерфейсу порівнюється з іменем, яке подає той, хто телефонує. Тут мітка і є ключем, і саме тому перейменування може виглядати як виправлення одного сайту та поломка іншого.
Із сертифікатами ім’я інтерфейсу порівнюється з іменем суб’єкта в поданому сертифікаті. Ім’я має відповідати цьому суб’єкту, і гарна мітка, вигадана оператором, не підійде.
Звідси два наслідки. У схемі із заздалегідь спільним ключем для заданого призначення можна ввімкнути лише один інтерфейс, тож дві філії, що ділять одну спостережувану публічну адресу, не можуть обидві обслуговуватися дубльованими записами. І діє той метод, який ви справді налаштували, хоч би що пропонувала консоль.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Увімкнено — не означає підключено
Адміністративний стан каже, чи дозволено логічному інтерфейсу працювати. Стан з’єднання каже, чи є сеанс просто зараз. Увімкнений інтерфейс без сеансу — звичайний стан спокою для з’єднання на вимогу, і повідомлення про це як про несправність змушує людей ганятися за простоєм, якого немає.
Використовуйте пошук за іменем або задокументований пошук у домені маршрутизації, але не обидва параметри водночас, і виконуйте його в потрібному контексті сервера. Якщо очікуваного інтерфейсу немає в першому списку, проблема перед станом: нічого взагалі не вибрано.
Читайте пару разом, а не окремо. З’єднання, яке має залишатися встановленим і показується відключеним, варте розслідування, тоді як простоююче з’єднання на вимогу, що підключається за потреби, поводиться як задумано. Тим часом адміністративно вимкнений інтерфейс залишиться темним, скільки б разів протилежний бік не перезапускав свій маршрутизатор.
Жодне зі значень не доводить, що автентифікація вдалася, що узгоджений захист збігається, що маршрути встановлено або що приватному застосунку дозволено. Це чотири різні питання з чотирма різними відповідями.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateПрочитайте транзакцію ідентичності, перш ніж щось вмикати
Коли вхідний абонент зіставляється з інтерфейсом, якого ви не чекали, корисний доказ — це подана ним ідентичність, а не список вимкнених інтерфейсів. Витягніть останні події віддаленого доступу й прочитайте адресу того, хто телефонує, результат автентифікації та ім’я вибраного інтерфейсу. Вимкнений інтерфейс може бути навмисно виведеним з експлуатації сайтом або забороненим партнером. Вмикати його, щоб побачити, чи зникне одна помилка входу, — це зміна конфігурації з наслідками для маршрутизації й доступу, тож проведіть рішення через власника цих відносин сайту, разом із його призначенням, захищеними префіксами та політикою.
Якщо зіставлення справді хибне, виправляйте ключ, а не симптом: виправте суб’єкт сертифіката або, у випадку імені користувача, ім’я інтерфейсу, а у випадку заздалегідь спільного ключа — призначення. Потім один раз перепідключіться й підтвердьте, що той самий абонент тепер вибирає потрібний об’єкт.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Замкніть цикл дозволеною операцією
Зелений стан — не приймання. Після вибору правильного інтерфейсу згенеруйте трафік, який допускає проєкт, від вузла в одному захищеному префіксі до вузла в іншому, і підтвердьте, що відповідь повертається тим самим шляхом. Виконайте ту саму спробу з вузла, який має бути відхилено, за допомогою Test-NetConnection -ComputerName 10.44.2.10 -Port 445 проти служби, яку проєкт виключає, і знову прочитайте події віддаленого доступу. З’єднання сайту, що несе більше за свої передбачені префікси або відповідає за службу, яку політика виключає, — це помилка маршрутизації, яку не виявить жодна перевірка стану.
Запишіть метод автентифікації, ключ вибору та дозволені префікси разом у посібник з експлуатації сайту. Наступний інженер зустріне ту саму таблицю з трьох значень, і угода про найменування має сенс лише тоді, коли цей контекст записано.