Windows VPN manzil maydonidagi port faqat SSTP uchun ishlaydi

VPN serveri TCP 10443 da javob beradi, Windows ning ichki mijozi to’g’ri hisob ma’lumotlariga ega, ammo ulanish DNS vaqt tugashiga o’xshash pauzadan keyin ham uziladi. Sabab odatda manzil maydonidir: Server nomi yoki manzil maydoniga vpn.example.com:10443 yozilsa, Windows butun satrni xost nomi sifatida o’qiydi, chunki bu maydon umumiy host:port kiritish maydoni emas. Portni u yerda umuman ifodalash mumkinmi-yo’qmi profil ishlatadigan tunnel turiga bog’liq va to’rt turdan faqat bittasi qiymatni tahlil qila oladigan narsa deb qabul qiladi.

Nima uchun manzil maydoni host:port maydoni emas

Bu maydon orqasidagi profil xossasi ServerAddress bo’lib, har bir tunnel turi satr bilan nima qilishni o’zi hal qiladi. Ulardan uchtasida to’ldiriladigan port parametri yo’q, shuning uchun ikki nuqta va raqam hech qachon hal qilinmaydigan nomdagi belgilardir. To’rtinchisi HTTPS orqali ishlaydi, u yerda port URL ning qismidir, shuning uchun qiymat URL sifatida tahlil qilinadigan shaklda yozilishi kerak.

Shuning uchun nosozlik nomlarni hal qilishga o’xshaydi, rad etilgan ulanishga emas. Xabar beriladigan yomon port yo’q, faqat mavjud bo’lmagan xost nomi bor va xato hal qiluvchi taslim bo’lgandan keyin keladi. Serverga tegishdan oldin profil qaysi tunnel turini ishlatishini tekshiring.

Qat’iy portga ega uch tur

PPTP TCP 1723 ga ulanadi va keyin tunnelni GRE, IP protokoli 47 ichida olib boradi. L2TP/IPsec tunnel uchun UDP 1701 va IPsec uchun UDP 500 hamda 4500 dan foydalanadi, 4500 esa NAT dan o’tish portidir. IKEv2 ham UDP 500 va 4500 dan foydalanadi. Bu profillarning hech biri interfeysning hech yerida port maydonini ko’rsatmaydi va hech biri nostandart port bo’yicha kelishmaydi.

Maxsus portda tinglayotgan server shuning uchun manzil qanday yozilishidan qat’i nazar, bu profillar uchun yetib bo’lmaydigan bo’ladi. Amaliy javoblar tor: standart portni serverda e’lon qiling yoki standart portni uning oldidagi routerda maxsus portga aylantiring. Ikkalasi ham mijoz profilini daxlsiz qoldiradi, bu esa profil qo’lda yozilmay, siyosat orqali tarqatilganda juda qimmatlidir.

SSTP URL talab qiladi, nom emas

SSTP istisno, chunki u TLS seansi ichida ishlaydi. Maydon URL sifatida tahlil qilinishi kerak: avval https:// sxemasi, keyin xost, keyin ikki nuqta va port. Sxemasiz Windows qiymatni oddiy nom deb hisoblashda davom etadi va ulanish har qanday TLS almashinuvidan oldin uziladi.

Buning odamlarni hayratlantirishining sababi shundaki, standart port yalang’och xost nomini qabul qiladi. Hech qachon maxsus portga muhtoj bo’lmagan profil qoidani hech qachon o’rgatmaydi va birinchisini qo’shgan kishi buni muvaffaqiyatsizlik orqali bilib oladi. Saqlagandan so’ng, dialogga ishonish o’rniga saqlangan qiymatni qayta o’qing:

Get-VpnConnection -Name "Corporate SSTP" | Select-Object Name, ServerAddress, TunnelType

ServerAddress aynan nima saqlanganini ko’rsatadi. Agar u ichida ikki nuqta bo’lgan yalang’och xost nomi sifatida o’qilsa, profil hech qachon URL olmagan va qanchalik qayta urinilsa ham bu tuzalmaydi.

Xuddi shu maydonga yopishtiriladigan ishlab chiqaruvchi sintaksisi

Ba’zi shlyuzlar bu maydon uchun qo’shimcha qoidalarni hujjatlashtiradi, masalan portdan keyin qo’shiladigan realm yoki sertifikat bilan ishlashni o’zgartiradigan so’rov parametrlari. Ularni o’sha ishlab chiqaruvchining serveri va ba’zi buildlarda o’z mijozi tushunadi. Ular Windows profil formatining qismi emas va ularni ichki profilga yopishtirish odatda xuddi shu jim nom xatosini keltirib chiqaradi.

Sertifikat tekshiruvini o’chiruvchi parametrni tuzatish emas, ogohlantirish deb qabul qiling. Agar profil faqat shu parametr bilan ulansa, sertifikat ishlatilayotgan nomga mos kelmaydi va to’g’ri tuzatish mijozda emas, shlyuzda bo’ladi. Portdan keyingi realm ham xuddi shunday xususiyatga ega: u faqat narigi tomondagi server uni kutsa, biror narsa qiladi.

Portni isbotlang, keyin muvaffaqiyatsiz bosqichni o’qing

Profilni ayblashdan oldin mijoz tarmog’idan bu portda TCP ni nimadir qabul qilishini tasdiqlang:

Test-NetConnection vpn.example.com -Port 10443

Muvaffaqiyat tinglovchini isbotlaydi, SSTP ni emas. Veb-server, teskari proksi yoki yuk balanslagichi TCP qo’l siqishini tugatib, baribir SSTP gapirmasligi mumkin, shuning uchun yashil test va qizil VPN haqiqiy kombinatsiyadir. Sertifikat sub’ektini profildagi nom bilan solishtiring va uni o’z ichiga olgan buildlarda RasClient jurnalini tekshiring, chunki u umumiy vaqt tugashi o’rniga muvaffaqiyatsiz bo’lgan bosqichni yozib oladi.

Keyin muammoni hujjatlashtirish o’rniga uni bartaraf etadigan variantni ko’rib chiqing: tashqaridan TCP 443 ni VPN serveridagi 10443 ga yo’naltiring. Shunda mijoz hech qanday portsiz standart profildan foydalanadi, bu odatda boshqariladigan park uchun eng toza tartib bo’lib, maxsus portni ichki tafsilot sifatida qoldiradi.