Які ўзровень профілю L2TP насамрэч зламаўся

Ідзіце ўніз па стэку, а не па старонцы налад: Узгадненне IPsec, затым кіраванне L2TP, затым аўтэнтыфікацыя PPP, затым прызначэнне адрасоў і DNS. Кожны ўзровень мае ўласную сігнатуру памылкі і ўласную верагодную прычыну. Профіль, які збаіць на аўтэнтыфікацыі карыстальніка, ужо прайшоў тры праверкі, да якіх профіль, што скончыўся па тайм-ауце раней, так і не дабраўся. Менавіта гэтую чарговасць трэба ўстанавіць першай.

Адно і тое ж імя пратакола хавае чатыры розныя размовы.

Назваць узровень, перш чым змяняць налады

Збой наладкі IPsec паказвае на агульны сакрэт, алгарытмы або ідэнтычнасць суразмоўцы. Збой кіравання L2TP пасля гэтага сведчыць пра сам узровень тунеля, што з'яўляецца вузейшай праблемай. Памылкі аўтэнтыфікацыі PPP называюць уліковы запіс або метад аўтэнтыфікацыі. А збой адраса або DNS пасля аўтэнтыфікацыі азначае, што транспарт працаваў, а абмен канфігурацыяй не.

Запішыце версію кліента, версію аперацыйнай сістэмы і дакументаваную наладку аператара. Без гэтых трох любое змяненне — здагадка, якая можа выпадкова выправіць нешта іншае.

Параўнайце профіль з бягучым кліентам

Захаваны профіль можа змяшчаць агульны сакрэт, варыянт аўтэнтыфікацыі або канчатковы пункт, які бягучы кліент больш не прымае. Некаторыя платформы цалкам адмовіліся ад падтрымкі L2TP/IPsec або выдалілі яе, а абноўлены кліент можа адмовіцца ад старога паводзінаў IKE без якіх-небудзь змен на серверы. Параўнайце захаваныя значэнні з бягучымі дакументаванымі патрабаваннямі аператара, а не з тым, што працавала год таму. Разрыў паміж гэтымі двума дакументамі звычайна і ёсць месца, дзе знаходзіцца адказ.

Кэшаваны сакрэт або пераназваны ўліковы запіс звычайна патрабуюць не больш за звычайнае абнаўленне профілю, і абодва варта праверыць, перш чым нешта перапраектаваць. Гэта танныя выпраўленні, і іх трэба выключыць да любых архітэктурных работ.

Старыя параметры не вяртаюцца ад таго, што іх уключылі

Адключэнне праверкі не выпраўляе праблему ланцужка даверу, а ўключэнне алгарытму толькі таму, што яго згадвае тэма на форуме, нічога не даказвае пра тое, што прымае сервер. Слабыя прапановы IKE звычайна выдаляюць з кліентаў па важкіх прычынах, і паўторнае ўключэнне адной з іх стварае злучэнне, горшае за тое, што зламалася. Больш слабы тунель — гэта не рамонт, а новая праблема з тым жа сімптомам. Правільнае пытанне — што аператар падтрымлівае цяпер.

Рамонак «уключыць усё» змяняе значна больш, чым фактычны збой, і пакідае вас без магчымасці сказаць, што менавіта дапамагло.

Пакажыце міграцыю як праект

Калі разгортванне больш не падтрымлівае патрэбны кліент, плануйце замену разам з аператарам, а не захоўвайце недакументаваны вынятак. Перанясіце патрабаванне доступу, ідэнтычнасці, запісы DNS і маршруты, бо адно новае рукапацісканне не стварае ніводнага з гэтых дазволаў. Менавіта на гэтых частках працоўнае злучэнне ціха трымалася. Трымайце стары профіль у бяспецы, пакуль аднаўленне не будзе пацверджана, затым адклічце састарэлыя ўліковыя даныя там, дзе яны фактычна кіруюцца. Пакінуць іх на месцы — гэта спосаб, якім стары шлях застаецца прыдатным яшчэ доўга пасля таго, як усе ўпэўненыя, што ён зачынены.

Міграцыя — гэта таксама момант запісаць, для чаго быў профіль. Інакш наступны чалавек атрымае ў спадчыну працоўнае злучэнне без тлумачэння.

Праверце ўзровень, версію кліента і бягучыя патрабаванні аператара. Затым вырашыце, гэта рамонт ці замена.