Watter laag van die L2TP-profiel het werklik gebreek

Werk af in die stapel eerder as dwars oor die instellingsblad: IPsec-onderhandeling, L2TP-beheer, PPP-verifikasie, dan adres- en DNS-toewysing. Elke laag het sy eie foutmerkers en sy eie waarskynlike oorsaak. ’n Profiel wat by gebruikersverifikasie faal, het reeds drie kontroles deurstaan wat ’n profiel wat vroeër uitgeval het nooit bereik het nie. Daardie volgorde is die eerste ding om vas te stel.

Dieselfde protokolnaam verberg vier verskillende gesprekke.

Benoem die laag voordat jy instellings verander

As IPsec-opstelling misluk, wys dit na die gedeelde geheim, die algoritmes of die eweknie-identiteit. As L2TP-beheer daarna misluk, dui dit op die tonnellaag self, wat ’n smaller probleem is. PPP-verifikasiefoute noem die rekening of die verifikasiemetode. ’n Adres- of DNS-fout ná verifikasie beteken die vervoer het gewerk en die konfigurasie-uitruiling het nie.

Teken die kliëntweergawe, die bedryfstelselweergawe en die operateur se gedokumenteerde opstelling aan. Sonder daardie drie is elke verandering ’n raaiskoot wat dalk per ongeluk iets anders regmaak.

Vergelyk die profiel met die huidige kliënt

’n Gestoorde profiel kan ’n gedeelde geheim, ’n verifikasiemoglikheid of ’n eindpunt dra wat die huidige kliënt nie meer aanvaar nie. Sommige platforms het L2TP/IPsec-ondersteuning heeltemal uitgefaseer of verwyder, en ’n opgedateerde kliënt kan ou IKE-gedrag laat vaar sonder enige verandering op die bediener. Vergelyk jou gestoorde waardes met die operateur se huidige gedokumenteerde vereistes eerder as met wat ’n jaar gelede gewerk het. Die gaping tussen daardie twee dokumente is gewoonlik waar die antwoord sit.

’n Gekaste geheim of ’n hernoemde rekening verg gewoonlik niks meer as ’n gewone profielopdatering nie, en albei is die moeite werd om na te gaan voordat jy enigiets herontwerp. Dit is die goedkoop regmaaksels, en hulle moet uitgeskakel word voordat enigiets argitektonies aangepak word.

Ou opsies kom nie terug deur hulle aanskakel nie

Om validering te deaktiveer maak nie ’n probleem met die vertroueketting reg nie, en om ’n algoritme aanskakel bloot omdat ’n forumdraad dit noem, bewys niks oor wat die bediener aanvaar nie. Swak IKE-voorstelle word gewoonlik om goeie redes uit kliënte verwyder, en om een weer aanskakel skep ’n verbinding wat slegter is as dié wat gebreek het. ’n Swakker tonnel is nie ’n herstelling nie, dit is ’n nuwe probleem met dieselfde simptoom. Die korrekte vraag is wat die operateur nou ondersteun.

’n Regmaak deur alles aanskakel verander veel meer as die werklike fout en laat jou nie in staat om te sê wat dit reggemaak het nie.

Bekyk die migrasie as ’n projek

As die ontplooiing nie meer die vereiste kliënt ondersteun nie, beplan ’n vervanging saam met die operateur eerder as om ’n ongedokumenteerde uitsondering te bewaar. Dra die toegangsvereiste, die identiteite, DNS-inskrywings en roetes oor, want ’n nuwe handdruk herskep op sy eie nie een van daardie toestemmings nie. Dit is die dele waarop ’n werkende verbinding stilweg gesteun het. Hou die ou profiel veilig totdat herstel bevestig is, en trek dan die verouderde geloofsbriewe terug waar hulle werklik geadministreer word. Om hulle te laat staan, is hoe ’n ou pad nog lank bruikbaar bly nadat almal glo dit is toegemaak.

’n Migrasie is ook die oomblik om neer te skryf waarvoor die profiel was. Die volgende persoon erf andersins ’n werkende verbinding sonder enige verduideliking.

Kyk na die laag, die kliëntweergawe en die operateur se huidige vereistes. Besluit dan of dit ’n herstelling of ’n vervanging is.