|
|
|||||||||||
|
|||||||||||||
| 当前位置： 电脑软硬件应用网 > 电脑学院 > 局域网技术 > 正文 |
|
|||
| 有关VPN连接的15项故障诊断提示 | |||
| 2007-5-10 11:08:27 文/Paula Sh… 出处:微软中国 | |||
|
配置计算机帐号。如果客户端为NT工作站或服务器，相应计算机必须在域中拥有一个帐号。如果客户端是一套新的系统，则请在对连接进行测试之前首先在服务器管理器中创建一个新的计算机帐号。如果客户端系统已经在网络上拥有一个帐号，但已有一个或多个星期未曾进行连接，那么，计算机帐号口令可能不再与服务器保持同步。每个计算机帐号都有一个由PDC自动重置的隐藏口令，如果系统长期处于脱机状态，PDC与客户端上的帐号口令将不再相同。通常情况下，您可通过删除并重新添加这个帐号的方式解决这种问题。 协商客户端身份验证方式。RAS服务器可以通过三种不同身份验证协议对PPTP用户进行身份验证。按照由低到高的安全性顺序，这三种协议分别是通过明文方式实现的口令身份验证协议（PAP）、通过加密与Hash算法实现的质询式握手身份验证协议（CHAP）以及通过加密和带有校验和的双重Hash算法实现的Microsoft质询式握手身份验证协议（MSCHAP）。客户端与服务器通过协商方式确定的登录身份验证协议取决于您在配置服务器进入端口与客户端PPTP连接网络设置时所选择的加密设置。服务器与客户端上拥有以下可用选项： 允许使用任意一种包含明文的身份验证方式。服务器将通过客户端所请求的协议（例如PAP、CHAP或MSCHAP）来完成身份验证。 需要加密的身份验证方式，服务器将通过MSCHAP、数据加密标准（DES）或Shiva PAP（SPAP）来完成身份验证。 需要Microsoft加密的身份验证方式。服务器只能通过MSCHAP实现身份验证。 从SP3开始，Microsoft引入了一种更为安全的MSCHAP版本，称为MSCHAP V2。您可以通过在服务器和Windows客户端上创建一条注册表项的方式来强制客户端仅仅使用MSCHAP V2执行身份验证。然而，当您执行此项修改操作时，那些不具备MSCHAP V2（一种专用Microsoft协议）支持能力的客户端将无法成功登录。因此，这种更改方式将使UNIX和Macintosh系统无法登录到您的VPN服务器上。 如需获取有关登录失败情况的故障诊断信息，请在用户管理器中启用登录审计功能并再次尝试建立连接。当您查看NT事件查看器安全日志中所存储的记录时，您将能够获得相关障碍的清晰描述信息。您可以看到用户名称是否合法，口令是否错误或者已经过期，计算机是否缺少一个合法帐号以及是否不存在可用VPN端口。 当用户能够成功登录后，应用程序事件日志将记录登录的日期与时间。此外，您还将能够在事件日志中找到另一个用以记录用户注销时间和会话持续时间的事件。 客户端能够登录但无法浏览LAN：您还可能会遇到客户端能够登录但无法浏览LAN的情况。如需对这种问题进行故障诊断，请确保已在所有Windows 9x客户端上将工作组设置为目标NT域的名称。接下来，如果客户端数量超过15或20个节点，也有可能造成客户端无法浏览，这是因为通过低速拨号连接对大型网络进行浏览是一项极为困难的任务。在PPTP会话建立后预先定义或手工将统一命名规范（UNC）连接映射到所需共享内容与资源是一项对于用户来说非常友好的操作。最后，您还需要理解四种TCP/IP设置如何对您的网络连接产生影响。（如需获取更多关于TCP/IP设置的信息，请查看工具条“重要客户端TCP/IP设置”。）当您需要为那些通过永久高速连接在家中进行工作的用户提供支持时，远程LAN浏览将是一种可行方案。在对这些组件进行检查并审核TCP/IP设置后，您便可以利用以下项目对浏览问题实施故障诊断。 工具条1：重要客户端TCP/IP设置 面向VPN会话的TCP/IP设置将采用与面向LAN连接的TCP/IP设置相同的方式运行。如需对某种VPN实施方案进行故障诊断，您应当首先理解四种TCP/IP设置如何对网络连接与浏览方式产生影响： DNS服务器：这种服务器能够将通过全面验证的域名（FQDN，如www.win200mag.com）转换为相应的TCP/IP地址（如207.54.25.03）。当您拥有一台能够正常工作的DNS服务器时，您的计算机将可以通过名称方式来查询并连接其它计算机。当您不具备DNS服务器（或者DNS服务器无法正常工作）时，您将无法通过名称方式与计算机建立连接。此时，您只能借助目标计算机TCP/IP地址与其建立连接。 WINS服务器：这种服务器能够将NetBIOS名称转换为相应的TCP/IP地址。在Windows NT 4.0网络中，每台计算机都将通过WINS服务器或本地浏览器（如果无可用WINS服务器）注册一个NetBIOS名称。同时，每台计算机还将为其所发布的每个文件与打印共享注册一个NetBIOS名称。如果您的客户端已经分配了一台WINS服务器，且假设您拥有所需的安全证书，那么，您将可以查看并连接网络上的共享打印机。如果您的客户端尚未分配WINS服务器，那么，您将无法浏览网络邻居，但如果您能够手工输入统一命名规范（UNC）名称并且您的安全证书允许对共享资源进行访问，那么，您将可以同文件与打印共享资源建立连接。 DHCP服务器：这种服务器至少能够在启动时为LAN客户端分配TCP/IP地址并在连接时为RAS客户端分配TCP/IP地址。如需将DHCP服务器配置为指派其它TCP/IP协议栈设置内容，您可以定义针对域名、缺省网关、DNS服务器以及WINS服务器等信息的范围选项。 缺省网关：这种网关将在数据传输目标为本地子网以外系统时通知计算机将数据发送至一台特定计算机或路由器。网关路由显示在Print Route命令输出结果中的表格首行内。 检查浏览方式。当您对网络甚至特定服务器进行浏览时，您经常会收到内容为“发生53号系统错误”的消息。此时，网络路径将无法找到。无法进行浏览的情况通常意味着客户端无法解析NetBIOS名称。请确保已经为客户端指定了一台静态（在PPTP连接的网络设置中）或动态（针对所有客户端使用Ipconfig命令或针对Windows 9x客户端使用Winipcfg命令）WINS服务器。如果客户端不具备WINS服务器地址，请手工输入地址，重新建立连接并再次尝试进行浏览。 设置缺省网关。寻找针对PPTP连接的缺省网关设置或打印路由表（使用Route Print命令）。如果网关仍旧指向ISP，那么，所有浏览LAN的客户端请求都将前往ISP而非VPN连接，ISP可能会阻塞NetBIOS名称广播所使用的端口。需要注意的是，除非在编号为137和138的UDP端口以及编号为139的TCP端口上启用单播通信方式，否则，路由器与防火墙将禁止传送NetBIOS名称。NetBIOS名称为Microsoft专用，某些ISP可能不允许此类数据从他们的基础架构上流过。 您可以通过手工方式从路由表中删除路由记录并添加针对VPN服务器虚拟接口的静态路由记录。服务器虚拟接口是指分配给VPN接口的地址。这种地址要么是静态地址池中的第一个地址，要么是RAS服务器配置中的第一个可用DHCP地址。 启用NetBEUI。如果您并非坚持要使用TCP/IP协议，那么，您一般情况下总是能够通过在RAS服务器和远程客户端上安装NetBEUI的方式来解决客户端浏览问题。为此，您只需在服务器的VPN端口上针对进入系统的连接启用NetBEUI，并在客户端PPTP连接中选择NetBEUI复选框。此后，您便可以在TCP/IP上利用NetBEUI将客户端与服务器建立连接。尽管如此，我们仍然无法回避基于NetBIOS的NT名称空间固有限制。尽管从技术角度考虑容易遭受攻击，然而，这种NetBEUI方案可能是获取全面LAN浏览能力的最简单方式。 如果在您尝试上述这些技术后客户端仍旧无法进行浏览，那么，请尝试通过客户端与某种网络共享资源建立连接。举例来说，您可以使用net use z: \myservermyshare命令。在处于故障诊断模式中时，通过手工方式与共享资源建立连接通常是一种允许用户访问文件及打印机的良好工作机制。 如果仍旧无法进行浏览，您接下来需要审核VPN服务器配置。许多服务器上所出现的问题都会对客户端浏览产生影响，但由于篇幅所限，本文无法详细为您列出所有潜在问题与解决方案。通过在Microsoft知识库页面http://support.microsoft.com/search/default.as上搜索有关PPTP客户端浏览与多宿主浏览的信息，您将能够发现许多非常有用的链接。这种搜索将返回有关多宿主服务器与网络浏览问题（例如各个NIC上的浏览器无法交换浏览列表）、PPTP连接以及WINS服务器位置等内容的文章列表。 已经建立连接的客户端无法浏览Internet：我曾经多次在同时安装网卡和调制解调器的Windows 95客户端上遇到过这种问题。当出现这种问题时，尽管VPN会话处于活动状态，但客户端却无法浏览Internet。导致这种问题的常见原因有两种。首先，当远程客户端具备网络连接时，VPN服务器可能不允许远程客户端访问Internet。这种情况下，当您关闭VPN连接后，由于缺省网关恢复为ISP所定义的网关，因此，客户端将能够浏览Internet。其次，当客户端处于连接状态时，Windows 95可能会使用VPN服务器所定义的网关来覆盖ISP网关，从而切断客户端访问Internet的路径。为解决这种问题，您可以通过手工方式面向ISP缺省网关添加代价为2（即首先尝试VPN网关，其次尝试ISP网关）的静态路由记录。 已经建立连接的客户端无法显示在网络邻居中：与我共事过的一名网络工程师曾经遇到过客户端（即便使用全功能VPN客户端连接）无法显示在LAN端网络邻居中的问题。您仅仅利用TCP/IP协议来配置客户端PPTP连接，同时通过VPN服务器建立连接并实现身份验证，此后，客户端便可以浏览所有LAN资源。当远程客户端展开网络邻居时，网络邻居将显示自身系统以及浏览列表中的所有其它客户端，但远程客户端却始终无法显示在LAN上的网络邻居中。如果希望远程客户端出现在LAN浏览列表中，您需要在RAS服务器与RAS客户端上安装NetBEUI。这种RAS所特有的一种奇怪问题，但目前这种问题尚无法得到有效解决。 最终准备就绪 我向您介绍了大多数常见的VPN配置与连接问题。现在，您已经掌握了许多故障诊断技巧。这些技术十分行之有效且极为流行，当管理员在Windows 2000（Win2K）中利用标准隧道协议与IP安全性（IPSec）时，这些技术将被广泛采用。需要注意的是，在学习这些技术的过程中，您应当做到由浅入深且一步一个脚印。此后，您便可以高枕无忧了。 关于本文作者 Paula Sharick是Windows 2000杂志资深编辑与在线专栏作家，同时，他还是Windows NT网络设计、实施方案与交互能力方面的一名技术咨询顾问。如欲同他取得联系，敬请致信：paula@win2000mag.com。 |
|||
| 关于45IT | About 45IT | 联系方式 | 版权声明 | 网站导航 | |
|
Copyright © 2003-2011 45IT. All Rights Reserved 浙ICP备09049068号 |
