Máy khách VPN của RRAS cần nhóm IPv4 riêng và đường quay về

Máy khách VPN kết nối và nhận địa chỉ, nhưng máy chủ LAN mà nó cần vẫn không thể trả lời. Trong Windows Routing and Remote Access, địa chỉ bên trong của máy khách VPN đến từ một nhóm được cấu hình tách biệt với bộ điều hợp LAN của máy chủ, và phía LAN cần tuyến quay về nhóm đó. Hai thay đổi, không phải một, và chúng hỏng theo những cách khác nhau. Làm lần lượt để kế hoạch địa chỉ và đường quay về được chứng minh trước khi các dải cũ bị gỡ bỏ.

Dành trước dải địa chỉ trước khi mở bảng điều khiển

Chọn một tiền tố không chồng lấn với LAN, các dải VPN khác hay bất cứ thứ gì được định tuyến vào site. /24 là kích thước thuận tiện cho thử nghiệm, và phần đầu dùng được có thể giao cho máy khách trong khi phần còn lại để trống cho tăng trưởng. Ghi lại kèm mục đích và người sở hữu trước khi gõ vào bảng điều khiển. Chừa chỗ ở cả hai đầu khối để việc chia sau này không buộc đánh số lại.

Một kế hoạch địa chỉ chỉ sống trong bảng điều khiển cách va chạm đúng một lần dựng lại. Nó cũng có xu hướng lớn dần: ai đó thêm dải thứ hai về sau và không ai kiểm tra dải đầu. Giữ kế hoạch bên cạnh tài liệu máy chủ, không phải trong luồng trò chuyện.

Bộ điều hợp LAN của máy chủ không định nghĩa nhóm này. Đổi bộ lắng nghe công khai hoặc thêm bộ điều hợp vào LAN làm việc hoàn toàn khác. Đó là lý do máy khách có thể kết nối mà vẫn nhận địa chỉ từ sai chỗ. Nhóm sống trong thuộc tính IPv4 của máy chủ, không phải trong danh sách bộ điều hợp.

Đổi phương thức không phải là thêm dải

RRAS có một phương thức gán và một tập dải. Chuyển từ DHCP sang nhóm tĩnh là đổi phương thức. Thêm một khối nữa khi nhóm tĩnh đã hoạt động là đổi dải.

Xem trước cả hai thao tác trước khi chạy bất kỳ thao tác nào, và đọc xem cái nào khớp với trạng thái hiện tại của máy chủ:

Set-VpnIPAddressAssignment -IPAssignmentMethod StaticPool -IPAddressRange '10.250.50.10','10.250.50.100' -WhatIf
Add-VpnIPAddressRange -IPAddressRange '10.250.50.110','10.250.50.150' -WhatIf

cmdlet thứ hai hỏng hoặc tạo nhóm không dùng được nếu máy chủ vẫn đang ở chế độ gán DHCP. Cái thứ nhất thay thế phương thức thay vì mở rộng nhóm sẵn có. Không bản xem trước nào áp dụng gì, nên hãy chạy cái khớp, rồi xác nhận nhóm kết quả trong bảng điều khiển. Nếu không chắc máy chủ ở trạng thái nào, hãy đọc phương thức gán trên trang thuộc tính IPv4 và liệt kê các dải đã cấu hình:

Get-VpnIPAddressRange

Phương thức DHCP với danh sách dải rỗng nghĩa là bản xem trước thứ nhất áp dụng. Nhóm địa chỉ tĩnh với dải sẵn có nghĩa là bản thứ hai áp dụng.

Tính đến việc khởi động lại dịch vụ mà thiết lập có thể yêu cầu, và đừng cho rằng máy khách đang kết nối được đánh số lại ngay. Máy khách giữ địa chỉ cũ cho đến khi kết nối lại là hành vi bình thường. Lên kế hoạch thay đổi vào khung giờ cho phép kết nối lại.

LAN cần tuyến quay về

Giả sử LAN là 10.60.0.0/24 và máy chủ RRAS là 10.60.0.10 trên đó. Máy chủ trong LAN đó trả lời một máy khách ở 10.250.50.0/24 cần đường tới nhóm qua máy chủ RRAS. Không có đường đó, yêu cầu đến nơi và câu trả lời chết.

Nếu cổng mặc định của máy chủ là router khác, router đó cần tuyến quay về cho tiền tố VPN. Một tuyến tĩnh trên máy chủ RRAS không giúp gì ở đây; đường quay về phải tồn tại trên thiết bị sở hữu cổng LAN, nên hãy thêm nó vào bảng định tuyến hoặc tiến trình định tuyến động, tùy theo site dùng gì.

Cũng kiểm tra tường lửa của máy chủ và mọi quy tắc truy cập mạng so với dải nguồn mới. Các quy tắc viết cho dải khách cũ từ chối dải mới dù việc gán đã thành công. Tuyến của máy khách tới LAN và phân giải DNS là hai yêu cầu riêng, và cả hai đều có thể hỏng trong khi đường hầm trông khỏe. Thử từng cái riêng.

Chứng minh nhóm mới trên một thiết bị trước khi gỡ nhóm cũ

Lấy một quyền mà bạn kiểm soát, kết nối lại và đọc địa chỉ nhóm mà máy khách nhận được. Con số duy nhất đó tách việc gán khỏi định tuyến. Sau đó thử một ứng dụng có tên, theo dõi lưu lượng quay về và thử một đích phải tiếp tục bị từ chối. Ba quan sát, ba kiểu hỏng khác nhau.

Phân giải tên xứng đáng có bài thử riêng: truy cập bằng IP có thể chạy trong khi DNS của máy khách vẫn trỏ tới một bộ phân giải mà nó không tới được. Máy chủ DNS trong LAN chỉ tới được nếu máy khách có tuyến tới đó và máy chủ chấp nhận truy vấn từ dải mới. Cả hai đều là chỗ hay bị bỏ sót khi nhóm đổi chỗ.

Chỉ gỡ các dải cũ và ngoại lệ của chúng sau khi đã tính đến phiên đang hoạt động và quy trình bảo trì. Một máy khách đang kết nối với địa chỉ mới chứng minh việc gán, không chứng minh chính sách truy cập. Giữ tài liệu về dải cũ cho đến khi phiên cuối cùng dùng nó hết hạn.

Kiểm tra kết quả bằng ba quan sát

Chấp nhận cần ba dữ kiện: máy khách có địa chỉ từ nhóm mới, một máy chủ LAN tới được và nhận trả lời, và một đích bị từ chối vẫn bị từ chối. Mỗi cái có phép kiểm tra riêng, nên khi hỏng thì chỉ vào việc gán, định tuyến hoặc chính sách. Chạy theo thứ tự đó.

Từ máy khách, xác nhận địa chỉ và tuyến tới một máy chủ LAN:

ipconfig | findstr /i "IPv4"
route print -4

Từ máy chủ LAN, xác nhận đường trả lời và chính sách trong một lượt. Nếu ping hỏng nhưng ứng dụng chạy, phần thiếu nhiều khả năng là quy tắc ICMP chứ không phải tuyến. Nếu cả hai cùng hỏng, hãy đọc tuyến trên máy chủ trước khi sửa VPN. Ghi ba kết quả vào phiếu thay đổi để người sau bắt đầu từ bằng chứng.