Kiruvchi tunnel qaysi RRAS sayt interfeysini tanlaydi?
RRAS kiruvchi sayt interfeysini sherik manzili, foydalanuvchi nomi yoki sertifikat mavzusi bo’yicha tanlaydi, shuning uchun bu kalitni yoqilgan va ulangan holatlardan alohida o’qing.
Bir nechta sayt-sayt interfeysi bo’lgan Windows serverida konsol yorlig’i faqat odamlar uchun eslatma emas. RRAS kiruvchi ulanishdan ma’lum maydonni qaysi mantiqiy interfeys javob berishini hal qilish uchun ishlatadi va bu maydon autentifikatsiya usuliga qarab o’zgaradi. Kalitni xato olsangiz, biror narsa tasodifan ulanmaguncha interfeys nomlarini o’zgartirasiz. Tanlash qoidasi, ma’muriy holat va sessiya holati uch xil fakt, va ulardan faqat bittasi nomlash haqida.
Afsona: nomi o’zgartirilgan interfeys hamma narsaga mos keladi
Filial ulana olmasa, vasvasali tuzatish — chaqiruvchiga o’xshab ko’ringuncha sayt interfeysi yaratish yoki uning nomini o’zgartirish. Bu bitta autentifikatsiya usuli uchun ishlaydi va boshqalari uchun jimgina muvaffaqiyatsizlikka uchraydi, shu sababli o’sha tartib qarama-qarshi natijalar bilan tarqaladi. Sayt interfeysi o’z manzili, himoyalangan prefikslari va holati bo’lgan mantiqiy ulanish obyekti. U shifrlangan paketlarni tashuvchi jismoniy adapter emas, shu sababli tarmoq adapterlariga qarash qaysi sayt obyekti tanlanganini aytmaydi.
Tanlov oddiy masofaviy kirish foydalanuvchilariga ham aloqador emas. Agar xodimlarning VPN mijozlari qo’ng’iroq qilsa, ular boshqa rolga ega va ularning foydalanuvchi nomlari bu xaritalashda hech qachon qatnashmaydi. Tanish nomdan biror narsa o’qishdan oldin chaqiruvchi qaysi rolga tegishli ekanini tasdiqlang.
Uchta autentifikatsiya shakli, uchta tanlash kaliti
Oldindan bo’lishilgan kalit bilan interfeysning sozlangan manzil manzili kiruvchi sherik manzili bilan solishtiriladi. Yorliq har qanday bo’lishi mumkin, chunki qarorni manzil tashiydi. Foydalanuvchi nomiga asoslangan autentifikatsiyada interfeys nomi chaqiruvchi taqdim etgan foydalanuvchi nomi bilan solishtiriladi. Bu yerda yorliq kalitning o’zi va nom o’zgartirish bir saytni tuzatib, boshqasini buzayotgandek ko’rinishining sababi aynan shu.
Sertifikatlar bilan interfeys nomi taqdim etilgan sertifikatdagi subyekt nomi bilan solishtiriladi. Nom o’sha subyektga mos kelishi kerak va operator o’ylab topgan chiroyli yorliq kifoya qilmaydi.
Bundan ikkita natija kelib chiqadi. Oldindan bo’lishilgan kalit sxemasida berilgan manzil uchun faqat bitta interfeys yoqilishi mumkin, shu sababli bitta kuzatilgan ommaviy manzilni bo’lishadigan ikki filial ikkalasi ham takroriy yozuvlar bilan xizmat ko’rsatib bo’lmaydi. Va konsol nima taklif qilsa ham, siz haqiqatda sozlagan usul amal qiladi.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Yoqilgan ulangan degani emas
Ma’muriy holat mantiqiy interfeysga ishlashga ruxsat bor-yo’qligini aytadi. Ulanish holati hozir sessiya bor-yo’qligini aytadi. Sessiyasiz yoqilgan interfeys talab bo’yicha qo’ng’iroq qiladigan ulanish uchun odatiy dam olish holati, va uni nosozlik deb xabar qilish odamlarni mavjud bo’lmagan uzilish orqasidan yuboradi.
Nomlangan qidiruv yoki hujjatlashtirilgan marshrutlash domeni qidiruvidan foydalaning, lekin ikkala parametrni birga emas, va uni ko’zda tutilgan server kontekstida ishga tushiring. Kutilgan interfeys birinchi ro’yxatda bo’lmasa, muammo holatdan oldin: hech narsa tanlanmagan.
Juftlikni alohida emas, birga o’qing. O’rnatilgan bo’lib qolishi kerak bo’lgan va uzilgan ko’rinadigan ulanish tekshirishga arziydi, talab bo’yicha ulanadigan bo’sh ulanish esa loyihalashtirilganidek ishlaydi. Shu bilan birga ma’muriy o’chirilgan interfeys qarshi tomon routerini necha marta qayta ishga tushirmasin, qorong’i bo’lib qoladi.
Ikki qiymatning hech biri autentifikatsiya muvaffaqiyatli o’tganini, kelishilgan himoya mos kelishini, marshrutlar o’rnatilganini yoki shaxsiy ilovaga ruxsat berilganini isbotlamaydi. Bular to’rt xil savol va to’rt xil javob.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateBiror narsani yoqishdan oldin identifikatsiya tranzaksiyasini o’qing
Kiruvchi chaqiruvchi siz kutmagan interfeysga xaritalanganda, foydali dalil u taqdim etgan identifikatsiya, o’chirilgan interfeyslar ro’yxati emas. So’nggi masofaviy kirish hodisalarini chiqaring va chaqiruvchi manzilini, autentifikatsiya natijasini va tanlangan interfeys nomini o’qing. O’chirilgan interfeys ataylab iste’foga chiqarilgan sayt yoki taqiqlangan sherik bo’lishi mumkin. Bitta kirish xatosi yo’qoladimi-yo’qmi deb uni yoqish marshrutlash va kirish oqibatlariga ega konfiguratsiya o’zgarishi, shuning uchun qarorni o’sha sayt munosabati egasi orqali o’tkazing, uning manzili, himoyalangan prefikslari va siyosati bilan birga.
Agar xaritalash haqiqatan noto’g’ri bo’lsa, simptomni emas, kalitni tuzating: sertifikat subyektini yoki foydalanuvchi nomi holatida interfeys nomini, oldindan bo’lishilgan kalit holatida manzilni tuzating. Keyin bir marta qayta ulanib, o’sha chaqiruvchi endi ko’zda tutilgan obyektni tanlayotganini tasdiqlang.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Tsiklni ruxsat etilgan amal bilan yoping
Yashil holat qabul emas. To’g’ri interfeys tanlangach, loyiha ruxsat beradigan trafikni bir himoyalangan prefiksdagi xostdan ikkinchisining xostiga yarating va javob o’sha yo’l bilan qaytishini tasdiqlang. Xuddi shu urinishni rad etilishi kerak bo’lgan xostdan ham bajaring, quyidagini ishlatib Test-NetConnection -ComputerName 10.44.2.10 -Port 445 loyiha istisno qiladigan xizmatga qarshi, va masofaviy kirish hodisalarini yana o’qing. O’zining ko’zda tutilgan prefikslaridan ko’proq olib yuradigan yoki siyosat istisno qiladigan xizmatga javob beradigan sayt ulanishi hech qanday holat tekshiruvi oshkor qilmaydigan marshrutlash xatosi.
Autentifikatsiya usulini, tanlash kalitini va ruxsat etilgan prefikslarni birga saytning ishlatish qo’llanmasiga yozib qo’ying. Keyingi muhandis o’sha uch qiymatli jadvalga duch keladi va nomlash konvensiyasi o’sha kontekst yozilgandagina ma’noga ega bo’ladi.