DirectAccess-Clients können eine Verbindung über Teredo herstellen, aber nicht über IP-HTTPS

In diesem Artikel wird ein Problem beschrieben, das verhindert, dass DirectAccess-Clients mithilfe von IP-HTTPS eine Verbindung herstellen, auch wenn sie eine Verbindung über Teredo herstellen können.

Ursprüngliche KB-Nummer: 2980660

Symptome

DirectAccess-Clients können eine Verbindung über Teredo herstellen, können aber möglicherweise nicht mithilfe von IP-HTTPS eine Verbindung herstellen.

Wenn Sie den Befehl "http show interface" der netsh-Schnittstelle ausführen, lautet die Ausgabe wie folgt:

Fehler: 0x643
Übersetzt in: Schwerwiegender Fehler während der Installation.

Fehler: 0x34
Übersetzt in: Fehler bei der Erstellung der Schnittstelle.

Ursache

Fehler: 0x643
Übersetzt in: Schwerwiegender Fehler während der Installation.

0x643 übersetzt:
ERROR_INSTALL_FAILURE
#Fatal Fehler während der Installation.

Fehler: 0x34
Übersetzt in : Fehler bei der Erstellung der Schnittstelle.

0x34 übersetzt:
ERROR_DUP_NAME
# Sie waren nicht verbunden, da ein doppelter Name vorhanden ist
# das Netzwerk. Wenn Sie einer Domäne beitreten, wechseln Sie zu "System in Control"
# Panel, um den Computernamen zu ändern, und versuchen Sie es erneut. Bei Beitritt
# eine Arbeitsgruppe, wählen Sie einen anderen Arbeitsgruppennamen aus.

Die Gründe für diese Fehlercodes sind identisch. Beide Fehlercodes deuten auf eine bereits vorhandene Einstellung oder Schnittstelle hin, die mit der aktuell angewendeten IP-HTTPS-Konfiguration in Konflikt tritt.

Mögliche Ursachen für dieses Problem sind:

• Doppelte oder beschädigte IP-HTTPS-Schnittstelle im Geräte-Manger.

• Beschädigte oder ungültige ACL für IP-HTTPS-Bindung (dies ist serverseitiges Problem).

• IPv6-Übergangsadapter sind deaktiviert, oder alle IPv6-Adapter sind deaktiviert.

  Notiz

  Wenn IPv6 für die NIC nicht ausgewählt ist, der Registrierungsschlüssel "DisabledComponents" jedoch nicht festgelegt wurde, können Sie diese mögliche Ursache ignorieren.

Lösung

Wenn beschädigte oder doppelte IP-HTTPS-Schnittstellen vorhanden sind

• Löschen Sie alle veralteten IP-HTTPS-Schnittstellen aus Geräte-Manager:

  1. Stellen Sie sicher, dass Sie die ausgeblendeten und Geistergeräte betrachten.

     • Legen Sie devmgr_show_nonpresent_devices=1 fest.
     • Öffnen Sie devmgmt.msc.
     • Wählen Sie "Ausgeblendete Geräte anzeigen" aus.

     Notiz

     • In Windows 8 wird die IP-HTTPS-Schnittstelle unter Netzwerkadaptern angezeigt.
     • In Windows 8.1 gibt es unter Softwaregeräten möglicherweise auch einen "Microsoft IPv4 IPv4 IPv6 Transition Adapter Bus".
     • Entfernen Sie den Übergangsadapter nicht auf einem DirectAccess-Server, da dieser gesamte DirectAccess-Datenverkehr beendet wird.

  2. Setzen Sie die IP-HTTPS-Schnittstelle auf dem Computer zurück, und setzen Sie dann die Konfiguration (GPO) erneut an.

• Löschen Sie die veralteten oder doppelten Einträge aus der Registrierung:

  1. Löschen Sie die folgenden Unterschlüssel:

     HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Tcpip\v6Transition\IPHTTPS

     HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Tcpip\v6Transition\IPHTTPSProfiles

  2. Starten Sie den IPHLPSVC neu, und starten Sie den Computer dann neu, während es mit dem Unternehmens-LAN verbunden ist, um die Gruppenrichtlinieneinstellungen erneut anzuwenden.

• Es wurde ein Hotfix veröffentlicht, um dieses Problem zu beheben.

  2966807 Zufällig können Sie keine Verbindung mit dem DirectAccess-Server herstellen, indem Sie den IP-HTTPS-Adapter in Windows 8.1 und Windows Server 2012 R2 verwenden.

Wenn serverseitige IP-HTTPS-Erstellungsfehler auftritt

• Sichern Sie den folgenden Registrierungsschlüssel, und löschen Sie den folgenden Registrierungsschlüssel:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\HTTP\Parameters\UrlAclInfo

• Löschen Sie die folgenden Schlüssel:

  • https://+:443/C574AC30-5794-4AEE-B1BB-6651C5315029/

  • https://+:443/sra_{BA195980-CD49-458b-9E23-C84EE0ADCD75}/

    Notiz

    Beachten Sie, dass dies ein serverseitiger Fix ist.

Wenn IPv6- oder nur IPv6-Übergangsadapter deaktiviert sind

Wenn IPv6 deaktiviert ist, stellen Sie sicher, dass sie wieder aktiviert wird.

Wenn der Registrierungsschlüssel "DisabledComponents" festgelegt HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TCPIP6ist, löschen Sie ihn, oder stellen Sie sicher, dass Übergangsadapter nicht deaktiviert werden.

Weitere Informationen hierzu finden Sie im folgenden Artikel in der Microsoft Knowledge Base:

929852 So deaktivieren Sie IPv6 oder die zugehörigen Komponenten in Windows

Weitere Informationen

DirectAccess-Konnektivitätsmethoden

DirectAccess-Clients verwenden mehrere Methoden, um eine Verbindung mit dem DirectAccess-Server herzustellen, wodurch der Zugriff auf interne Ressourcen ermöglicht wird. Clients können entweder Teredo, 6to4 oder IP-HTTPS verwenden, um eine Verbindung mit DirectAccess herzustellen. Dies hängt auch davon ab, wie der DirectAccess-Server konfiguriert ist.

Wenn der DirectAccess-Client über eine öffentliche IPv4-Adresse verfügt, versucht er, mithilfe der 6to4-Schnittstelle eine Verbindung herzustellen. Einige ISPs geben jedoch die Illusion einer öffentlichen IP-Adresse. Was sie Endbenutzern bereitstellen, ist eine pseudo-öffentliche IP-Adresse. Dies bedeutet, dass die vom DirectAccess-Client empfangene IP-Adresse (eine Datenkarte oder SIM-Verbindung) eine IP aus dem öffentlichen Adressraum sein kann, aber dass sie sich tatsächlich hinter einem oder mehreren NATs befindet.

Wenn sich der Client hinter einem NAT-Gerät befindet, versucht er, Teredo zu verwenden. Viele Unternehmen wie Hotels, Flughäfen und Cafés erlauben es Teredo-Datenverkehr nicht, ihre Firewall zu durchlaufen. In solchen Szenarien schlägt der Client auf IP-HTTPS fehl. IP-HTTPS basiert auf einer SSL(TLS) TCP 443-basierten Verbindung. SSL-ausgehender Datenverkehr wird höchstwahrscheinlich in allen Netzwerken zulässig sein.

Unter Berücksichtigung dieses Aspekts wurde IP-HTTPS erstellt, um eine Sicherungsverbindung bereitzustellen, die zuverlässig und immer erreichbar ist. Ein DirectAccess-Client verwendet dies, wenn andere Methoden (z. B. Teredo oder 6to4) fehlschlagen.

Weitere Informationen zu Übergangstechnologien finden Sie unter IPv6-Übergangstechnologien.