Windows’ning ichki VPN’i sotuvchi SSL darvozasiga yetib bormaydi: sababi

Windows bilan to‘rt turdagi tunnel birga keladi va sotuvchining SSL darvozasi ulardan biri emas. Shunga qaramay ichki profilni shunday darvozaga yo‘naltirsangiz, ulanish hisob ma’lumotlari so‘ralishidan oldin uziladi, odatda ulanishni mahalliy tizim to‘xtatgani haqidagi xabar bilan. Bu matn nomuvofiqlik belgisi, tashxis emas. Profil turi va protokolga ega mijoz mos kelishi kerak, va ulardan biri yo‘q.

To‘rt tur va bitta muloqot oynasi

Har bir saqlangan profil tunnel turini olib yuradi. Ichki mijoz PPTP, L2TP, IKEv2 va SSTP ni qabul qiladi, shuningdek ularni navbat bilan sinab ko‘ruvchi avtomatik rejimni. Umumiy SSL VPN yozuvi yo‘q va uni muloqot oynasi orqali qo‘shishning yo‘li yo‘q. Sotuvchining darvozasi TLS ustida o‘z amaliy protokolini gapiradi, uni faqat o‘sha sotuvchining mijozi amalga oshiradi.

Ro‘yxat bitta buyruq uzoqda, va uni har qanday boshqa muammoni hal qilishdan oldin ishga tushirishga arziydi, chunki u bir soniya oladi va noto‘g‘ri taxminlarning butun bir sinfini yo‘q qiladi:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Agar profil SSTP desa va darvoza RRAS serveri bo‘lmasa, nomuvofiqlik allaqachon aniqlangan. Sertifikat yoki tarmoq devori bilan bog‘liq hech qanday ish buni o‘zgartirmaydi.

SSTP va sotuvchi TLS’i 443 portida bir xil ko‘rinadi

SSTP PPP sessiyasini TLS ichiga o‘raydi va TCP 443 bo‘ylab harakatlanadi. Microsoft stekida uni RRAS tugatadi, u mijoz tekshiradigan server sertifikatini taqdim etadi. Fortinet, Citrix yoki Pulse qurilmasi ham 443 da TLS ni tugatadi, va uning portali har qanday brauzerda shikoyatsiz ochiladi.

O‘sha brauzer sinovi yetib borishni isbotlaydi, moslikni emas. Portal ortidagi sessiya protokoli sotuvchiga tegishli, va ichki mijozda uning hech qanday amalga oshirilishi yo‘q. Sotuvchi o‘z mijozini taqdim etadimi — bu siz nomuvofiqlikning qaysi yarmi bilan ishlayotganingizni aytadi.

Teskari chalkashlik ham bo‘ladi. Haqiqiy RRAS serveriga qarshi SSTP sifatida sozlangan profil portal joyida bo‘lsa ham sertifikat tekshiruvida muvaffaqiyatsiz bo‘lishi mumkin, va bu sertifikat muammosi, protokol muammosi emas.

Tunnel paydo bo‘lishidan oldin ko‘rinadigan xatolar

800 seriyasidagi kodlar har qanday tunnel o‘rnatilishidan oldin bildiriladi, shuning uchun tarmoq devori qoidalari ularni kamdan-kam suradi. 812 xatosi mijoz taklif qilgan autentifikatsiya usulini rad etuvchi server tomonidagi siyosat. Diapazondagi qolganlari tarmoqdan emas, mahalliy ulanish menejeridan keladi.

Biron narsani qayta qurishdan oldin kuzatuvni yoqing. Kuzatuv muvaffaqiyatsiz bo‘lgan bosqichni nomlaydi, va bosqich nomi muloqot oynasi matnidan qimmatroq:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Kuzatuvlar kuzatuv papkasi ostiga tushadi va siz ularni tozalamaguningizcha shu yerda qoladi, shuning uchun keyin uni o‘chiring, haftalab yoniq qoldirmang.

Ulangan profil ham hamma narsani buzishi mumkin

Ulanib, keyin brauzerni, mahalliy almashinuvni yoki konteyner dvigatelini buzadigan profilda marshrutlash muammosi bor, tunnel muammosi emas. Standart darvoza tunnelga ko‘chdi, shuning uchun har bir manzil endi uni marshrutlamasligi mumkin bo‘lgan sherik orqali o‘tadi.

Buni ikkita boshqaruv hal qiladi. Biri profildagi split tunneling xossasi. Ikkinchisi — uzoq tarmoqda standart darvozadan foydalanish uchun har bir adapterga tegishli parametr, u IPv4 ning kengaytirilgan sozlamalarida.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Marshrutlar qo‘shmasdan split tunneling ni yoqish ulanadigan, lekin hech qayerga yetib bormaydigan tunnel hosil qiladi. Uni DNS ni tekshirmasdan o‘chirish ichki nomlarni umumiy javoblarga aylantiradi, chunki adapterning o‘z suffiksi va serverlari ishlatilmaydi.

Avval quvur o‘tkazgichlarini, keyin turni tekshiring

Shu tartibda ishlang, va hammasini bir vaqtda to‘g‘rilash o‘rniga biror qadam muvaffaqiyatsiz bo‘lsa to‘xtang:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Birinchi buyruq yetib borishni protokoldan ajratadi. Ikkinchisi profil o‘zini nima deb e’lon qilishini tasdiqlaydi. Marshrut jadvali tunnel standart marshrutni egallaganini ko‘rsatadi. Qo‘ng‘iroq buyrug‘i ulanish menejerining o‘z xatosini bildiradi, va u ko‘pincha muloqot oynasidan aniqroq.

Tiketda tunnel turini, darvoza mahsulotini va aniq xatoni yozib qo‘ying. Shunda keyingi odam bir daqiqada bu protokol nomuvofiqligi, sertifikat nosozligi yoki marshrutlash qarori ekanini biladi, «VPN ishlamayapti» dan boshlash o‘rniga.