Giao diện site RRAS nào được một đường hầm đi vào chọn?
RRAS chọn giao diện site đi vào theo địa chỉ của peer, tên người dùng hoặc chủ thể của chứng chỉ, vì vậy hãy đọc khóa đó tách biệt khỏi các trạng thái đã bật và đã kết nối.
Trên một máy chủ Windows có nhiều giao diện site-tới-site, nhãn trên bảng điều khiển không chỉ là ghi chú cho con người. RRAS dùng một trường cụ thể từ kết nối đi vào để quyết định giao diện logic nào sẽ trả lời, và trường đó thay đổi theo phương thức xác thực. Nếu lấy sai khóa, bạn sẽ đổi tên giao diện cho đến khi có thứ gì đó kết nối được nhờ may mắn. Quy tắc chọn, trạng thái quản trị và trạng thái phiên là ba sự thật riêng biệt, và chỉ một trong số đó nói về việc đặt tên.
Lầm tưởng: giao diện đã đổi tên sẽ khớp với bất cứ thứ gì
Cách sửa hấp dẫn khi một chi nhánh không kết nối được là tạo hoặc đổi tên giao diện site cho đến khi nó giống bên gọi. Cách đó hiệu quả với một phương thức xác thực và âm thầm thất bại với các phương thức khác, đó là lý do cùng một quy trình được truyền tay với kết quả trái ngược. Giao diện site là một đối tượng kết nối logic có đích riêng, các tiền tố được bảo vệ và trạng thái riêng. Nó không phải bộ điều hợp vật lý mang các gói đã mã hóa, nên nhìn vào bộ điều hợp mạng không cho biết đối tượng site nào đã được chọn.
Việc chọn cũng không liên quan gì đến người dùng truy cập từ xa thông thường. Nếu các máy khách VPN của nhân viên quay số vào, họ thuộc vai trò khác, và tên người dùng của họ không bao giờ tham gia ánh xạ này. Hãy xác nhận bên gọi thuộc vai trò nào trước khi đọc bất cứ điều gì từ một cái tên quen thuộc.
Ba dạng xác thực, ba khóa chọn
Với khóa chia sẻ trước, địa chỉ đích đã cấu hình của giao diện được so với địa chỉ của peer đi vào. Nhãn có thể là bất cứ thứ gì, vì chính địa chỉ mang quyết định. Với xác thực dựa trên tên người dùng, tên giao diện được so với tên người dùng mà bên gọi trình bày. Ở đây nhãn chính là khóa, và đó đúng là lý do một lần đổi tên có vẻ sửa được site này và làm hỏng site khác.
Với chứng chỉ, tên giao diện được so với tên chủ thể trong chứng chỉ được trình bày. Tên phải tương ứng với chủ thể đó, và một nhãn đẹp do người vận hành nghĩ ra sẽ không đủ.
Hai hệ quả kéo theo. Trong cách bố trí khóa chia sẻ trước, chỉ một giao diện có thể được bật cho một đích nhất định, nên hai chi nhánh dùng chung một địa chỉ công cộng quan sát được không thể cùng được phục vụ bằng các mục trùng lặp. Và phương thức bạn thực sự đã cấu hình mới là phương thức có hiệu lực, bất kể bảng điều khiển gợi ý gì.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Đã bật không phải đã kết nối
Trạng thái quản trị cho biết giao diện logic có được phép hoạt động hay không. Trạng thái kết nối cho biết hiện có phiên hay không. Một giao diện đã bật mà không có phiên là trạng thái nghỉ bình thường của một liên kết quay số theo yêu cầu, và báo cáo nó là sự cố sẽ khiến người ta đuổi theo một lần gián đoạn không hề tồn tại.
Hãy dùng tra cứu theo tên hoặc tra cứu miền định tuyến đã được ghi tài liệu, nhưng không dùng cả hai tham số cùng lúc, và chạy nó trong ngữ cảnh máy chủ dự kiến. Nếu giao diện bạn mong đợi không có trong danh sách đầu tiên, vấn đề nằm trước trạng thái: không có gì được chọn cả.
Hãy đọc cặp này cùng nhau chứ không tách rời. Một liên kết lẽ ra phải duy trì mà lại hiển thị đã ngắt kết nối đáng để điều tra, trong khi một liên kết nhàn rỗi kết nối theo yêu cầu đang hoạt động đúng như thiết kế. Trong khi đó, một giao diện bị vô hiệu hóa về quản trị sẽ vẫn tối, dù phía đối diện khởi động lại bộ định tuyến bao nhiêu lần.
Không giá trị nào chứng minh rằng xác thực đã thành công, rằng phần bảo vệ đã thương lượng khớp nhau, rằng các tuyến đã được cài đặt hay rằng ứng dụng riêng tư được phép. Đó là bốn câu hỏi khác nhau với bốn câu trả lời khác nhau.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateHãy đọc giao dịch danh tính trước khi bật bất cứ thứ gì
Khi một bên gọi đi vào được ánh xạ tới giao diện mà bạn không ngờ, bằng chứng hữu ích là danh tính mà nó trình bày, không phải danh sách giao diện bị vô hiệu hóa. Hãy lấy các sự kiện truy cập từ xa gần đây và đọc địa chỉ bên gọi, kết quả xác thực và tên giao diện được chọn. Một giao diện bị vô hiệu hóa có thể là site đã được cho nghỉ hưu có chủ đích hoặc một đối tác bị cấm. Bật nó lên để xem một lỗi đăng nhập có biến mất không là một thay đổi cấu hình có hệ quả về định tuyến và truy cập, nên hãy chuyển quyết định qua chủ sở hữu mối quan hệ site đó, cùng với đích, các tiền tố được bảo vệ và chính sách.
Nếu ánh xạ thực sự sai, hãy sửa khóa chứ không phải triệu chứng: sửa chủ thể chứng chỉ hoặc trong trường hợp tên người dùng là tên giao diện, và trong trường hợp khóa chia sẻ trước là đích. Sau đó kết nối lại một lần và xác nhận rằng chính bên gọi đó giờ chọn đúng đối tượng dự kiến.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Khép vòng lặp bằng một thao tác được phép
Trạng thái xanh không phải là chấp nhận. Sau khi giao diện đúng được chọn, hãy tạo lưu lượng mà thiết kế cho phép, từ một máy chủ trong một tiền tố được bảo vệ tới một máy chủ ở tiền tố kia, và xác nhận rằng phản hồi quay lại theo cùng đường. Hãy thực hiện cố gắng tương tự từ một máy chủ lẽ ra phải bị từ chối, dùng Test-NetConnection -ComputerName 10.44.2.10 -Port 445 đối với một dịch vụ mà thiết kế loại trừ, và đọc lại các sự kiện truy cập từ xa. Một liên kết site mang nhiều hơn các tiền tố dự kiến của nó, hoặc trả lời cho một dịch vụ mà chính sách loại trừ, là lỗi định tuyến mà không kiểm tra trạng thái nào phát hiện được.
Ghi lại phương thức xác thực, khóa chọn và các tiền tố được phép cùng nhau trong sổ tay vận hành của site. Kỹ sư tiếp theo sẽ gặp đúng bảng ba giá trị đó, và quy ước đặt tên chỉ có nghĩa khi ngữ cảnh đó được viết ra.