VPN có sẵn của Windows không kết nối được tới cổng SSL của nhà cung cấp: vì sao

Windows có bốn loại đường hầm, và cổng SSL của nhà cung cấp không phải một trong số đó. Vẫn trỏ một hồ sơ có sẵn vào cổng như vậy, kết nối sẽ thất bại trước khi hỏi thông tin đăng nhập, thường kèm thông báo rằng hệ thống cục bộ đã chấm dứt kết nối. Đoạn văn đó là dấu hiệu không khớp, không phải chẩn đoán. Loại hồ sơ và ứng dụng sở hữu giao thức phải khớp nhau, và một trong hai đang thiếu.

Bốn loại và một hộp thoại

Mỗi hồ sơ đã lưu mang một loại đường hầm. Ứng dụng có sẵn chấp nhận PPTP, L2TP, IKEv2 và SSTP, kèm chế độ tự động thử lần lượt. Không có mục SSL VPN chung, và không có cách thêm một mục qua hộp thoại. Cổng của nhà cung cấp nói giao thức ứng dụng riêng của họ trên TLS, mà chỉ ứng dụng của nhà cung cấp đó triển khai.

Danh sách chỉ cách một lệnh, và đáng chạy trước mọi bước xử lý sự cố khác vì nó tốn một giây và loại bỏ cả một nhóm giả định sai:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Nếu hồ sơ ghi SSTP mà cổng không phải máy chủ RRAS, sự không khớp đã được xác lập. Không việc gì với chứng chỉ hay tường lửa thay đổi được điều đó.

SSTP và TLS của nhà cung cấp trông giống nhau trên cổng 443

SSTP bọc một phiên PPP bên trong TLS và đi trên TCP 443. Trong ngăn xếp của Microsoft, RRAS kết thúc phiên đó và trình một chứng chỉ máy chủ mà ứng dụng xác thực. Một thiết bị Fortinet, Citrix hay Pulse cũng kết thúc TLS trên 443, và cổng của nó mở trong mọi trình duyệt mà không phàn nàn.

Phép thử trên trình duyệt đó chứng minh khả năng kết nối tới, không phải khả năng tương thích. Giao thức phiên phía sau cổng thuộc về nhà cung cấp, và ứng dụng có sẵn không có bất kỳ bản triển khai nào của nó. Việc nhà cung cấp có ứng dụng riêng hay không cho bạn biết đang xử lý nửa nào của sự không khớp.

Sự nhầm lẫn ngược lại cũng xảy ra. Một hồ sơ cấu hình là SSTP với máy chủ RRAS thật có thể thất bại ở bước xác thực chứng chỉ trong khi cổng vẫn ổn, và đó là vấn đề chứng chỉ chứ không phải vấn đề giao thức.

Những lỗi xuất hiện trước khi có đường hầm

Các mã thuộc dãy 800 được báo trước khi bất kỳ đường hầm nào được thiết lập, vì thế quy tắc tường lửa hiếm khi làm chúng thay đổi. Lỗi 812 là chính sách phía máy chủ từ chối phương thức xác thực mà ứng dụng đưa ra. Những lỗi khác trong dãy đến từ trình quản lý kết nối cục bộ chứ không phải từ mạng.

Bật theo dõi trước khi dựng lại bất cứ thứ gì. Theo dõi nêu tên giai đoạn thất bại, và tên giai đoạn có giá trị hơn văn bản trong hộp thoại:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Bản theo dõi nằm dưới thư mục theo dõi và ở đó cho đến khi bạn xóa, nên hãy tắt theo dõi sau đó thay vì để nó chạy hàng tuần.

Một hồ sơ đã kết nối vẫn có thể làm hỏng mọi thứ

Hồ sơ kết nối được rồi làm hỏng duyệt web, chia sẻ cục bộ hay công cụ container là có vấn đề định tuyến, không phải vấn đề đường hầm. Cổng mặc định đã chuyển vào đường hầm, nên mọi đích giờ đi qua một đối tác có thể không định tuyến nó.

Hai điều khiển quyết định việc này. Một là thuộc tính split tunneling trên hồ sơ. Hai là tùy chọn cho từng bộ điều hợp dùng cổng mặc định trên mạng từ xa, nằm trong cài đặt nâng cao của IPv4.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Bật split tunneling mà không thêm tuyến sẽ tạo ra đường hầm kết nối được nhưng không tới đâu. Tắt nó mà không kiểm tra DNS sẽ tạo ra các tên nội bộ phân giải thành câu trả lời công khai, vì hậu tố và máy chủ của chính bộ điều hợp không được dùng.

Kiểm tra phần đường ống trước, rồi đến loại

Làm theo thứ tự này, và dừng lại khi một bước thất bại thay vì chỉnh mọi thứ cùng lúc:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Lệnh đầu tách khả năng kết nối tới khỏi giao thức. Lệnh thứ hai xác nhận hồ sơ tự nhận là gì. Bảng tuyến cho biết đường hầm có chiếm tuyến mặc định hay không. Lệnh quay số báo lỗi của chính trình quản lý kết nối, thường rõ hơn hộp thoại.

Ghi loại đường hầm, sản phẩm cổng và lỗi chính xác vào phiếu. Người tiếp theo sẽ biết trong một phút đây là không khớp giao thức, hỏng chứng chỉ hay quyết định định tuyến, thay vì bắt đầu bằng “VPN không chạy”.