Gwall 789 L2TP/IPsec ar Windows: creu a phinio’r proffil

Mae gwall 789 ar gysylltiad L2TP yn Windows yn golygu bod y twnnel wedi marw y tu mewn i’r gyfnewid diogelwch IPsec, sy’n digwydd ymhell cyn i Windows anfon cyfrinair defnyddiwr unrhyw le. Nid yw ailgynnig y cyfrinair, na’i ailosod yn y cyfeiriadur, yn gallu symud y cam hwnnw ymlaen. Yr hyn sy’n ei symud yw ailadeiladu’r cysylltiad o PowerShell gyda’r cynnig y mae’r giât yn ei gynnig mewn gwirionedd, oherwydd bod dewin Gosodiadau yn dewis trawsnewidiadau IPsec yn dawel ac yn byth yn dangos i chi beth a ddewisodd. Dyma’r llawlyfr ar gyfer hynny: crëwch y proffil, piniwch y cynnig, yna defnyddiwch dabl camau fel bod y cod nesaf yn dweud rhywbeth wrthych.

Crëwch y proffil heb y dewin

Add-VpnConnection yn ysgrifennu cofnod llyfr ffôn brodorol, felly’r canlyniad yw’r un gwrthrych y mae ap Gosodiadau yn ei olygu’n ddiweddarach. Rhedwch ef o sesiwn wedi’i chodi pan ddylai’r cysylltiad fodoli ar gyfer pob cyfrif ar y peiriant, neu o gyd-destun y defnyddiwr pan ddylai aros yn breifat:

Add-VpnConnection -Name "Contoso L2TP" `
  -ServerAddress 203.0.113.10 `
  -TunnelType L2tp `
  -EncryptionLevel Required `
  -AuthenticationMethod MSChapv2 `
  -RememberCredential -Force

Cydweddwch -AuthenticationMethod â’r hyn y mae’r giât yn ei gynnig. Nid yw MSChapv2, EAP a PAP yn gyfnewidiol, ac mae proffil sy’n mynnu dull na fydd y gweinydd yn ei dderbyn yn methu cyn i unrhyw gofnod defnyddiwr gael ei ystyried. Cadwch -EncryptionLevel Required ar gyfer unrhyw beth go iawn; mae Optional yn gadael i Windows dderbyn twnnel heb ei amgryptio os bydd y cymar yn cynnig un, sy’n fyrlwybr labordy ac nid yn osodiad i’w gludo.

Os byddwch yn pasio -L2tpPsk, mae’r allwedd a rannwyd ymlaen llaw honno’n cael ei hysgrifennu i’r proffil ar y disg, lle gall unrhyw un sy’n gallu darllen y proffil ar y peiriant hwnnw ei hadfer. Defnyddiwch dystysgrif ar gyfer dilysu’r cymar pan fydd y giât yn cefnogi hynny, a phan fo PSK yn anochel, cadwch ef y tu allan i’r storfa a thu allan i hanes y plisgyn yn hytrach na’i ludo i bob rhediad darparu.

Piniwch y cynnig yn hytrach na derbyn y rhagosodiadau

Mae Windows yn llenwi’r trawsnewidiadau IPsec ei hun, a dyna pam y gall dau beiriant â chysylltiad sy’n edrych yr un fath fethu’n wahanol yn erbyn yr un giât. Set-VpnConnectionIPsecConfiguration yw’r ffordd a gefnogir o’u pinio:

Set-VpnConnectionIPsecConfiguration -ConnectionName "Contoso L2TP" `
  -AuthenticationTransformConstants SHA256128 `
  -CipherTransformConstants AES128 `
  -EncryptionMethod AES128 `
  -IntegrityCheckMethod SHA256 `
  -DHGroup Group14 `
  -PfsGroup None `
  -PassThru -Force

Mae’r set honno’n un trefniant L2TP/IPsec cyffredin, nid ateb cyffredinol. Mae pob paramedr yn derbyn rhestr sefydlog o werthoedd, ac mae cyfuniad na all y platfform ei fapio yn dod yn ôl fel gwall cmdlet yn hytrach na phroffil wedi’i wanhau’n dawel. Triniwch wall o’r fath fel datganiad am y gwerthoedd, nid am eich caniatâd.

Copïwch y cynnig o ddogfennaeth y giât neu o’i gosodiadau cam 1 a cham 2 byw, a newidiwch un maes ar y tro dim ond tra bo’r giât yn cofnodi’r trawsnewidiadau y mae’n eu gwrthod. Mae cylchdroi drwy bump maes yn cynhyrchu cysylltiad sy’n gweithio ar hap a chofnod nad yw’n esbonio dim i’r person nesaf.

Darllenwch fethiant fesul cam, nid fesul testun y gwall

Mae 789 yn perthyn i deulu o godau sy’n edrych yr un fath i gyd yn y blwch deialog cleient. Rhowch y cod gyferbyn â’r cam y mae’n perthyn iddo cyn i chi gyffwrdd â’r proffil eto:

Mae dwy rôl y manylion yn bwysig yma. Mae allwedd a rannwyd ymlaen llaw neu dystysgrif yn dilysu’r cymheiriaid i’w gilydd, tra bod MSChapv2 neu EAP yn eich dilysu chi y tu mewn i’r twnnel. Nid yw ailosod cyfrinair defnyddiwr yn gallu trwsio’r cyntaf, nid yw cyfrinach rannol newydd yn gallu trwsio’r ail, ac mae newid y ddau ar unwaith yn dinistrio’r dystiolaeth o ba un oedd yn anghywir.

Ar lwybr y dystysgrif, gwiriwch gloc y cleient, y gadwyn ymddiriedaeth a’r hunaniaeth y mae’r giât yn ei disgwyl cyn i chi ystyried llacio’r dilysu. Mae analluogi dilysu yn troi 789 gweladwy yn dwnnel sy’n cysylltu tra’n ymddiried yn y cymar anghywir, ac ni fydd dim yn y cleient yn dweud wrthych fod hynny wedi digwydd. rhestr gwallau mynediad o bell Microsoft yw’r cyfeirnod ar gyfer y codau eu hunain, ac mae’n gwahanu methiannau’r haen ddiogelwch oddi wrth fethiannau mewngofnodi.

Gwiriwch o’r ddau ben cyn dweud ei fod wedi’i drwsio

Darllenwch y proffil yn ôl, ond peidiwch â disgwyl y cynnig yn yr allbwn. Mae Get-VpnConnection yn adrodd yr enw, cyfeiriad y gweinydd, math y twnnel, lefel amgryptio a’r dull dilysu, ac nid yw’n gwybod dim am drawsnewidiadau, felly mae’r darlleniad yn cadarnhau bod y cofnod yn bodoli ac yn pwyntio at y gwesteiwr cywir:

Get-VpnConnection -Name "Contoso L2TP" |
  Select-Object Name, ServerAddress, TunnelType, EncryptionLevel, AuthenticationMethod

Deialwch o’r llinell orchymyn er mwyn cael rhif yn hytrach na blwch deialog: mae rasdial "Contoso L2TP" yn dychwelyd yr un cod methiant y byddai’r rhyngwyneb yn ei ddychwelyd, ac mae rasdial "Contoso L2TP" /disconnect yn ei glirio rhwng ymgeisiau. Yna darllenwch ochr y giât ar gyfer yr un ymgais honno. Mae ipsec statusall strongSwan neu gofnod IKE llwybrydd yn nodi pa gynnig a gyrhaeddodd a pha un a wrthodwyd, ac mae cymharu hynny â gwerthoedd y cmdlet yr unig gam sy’n profi mewn gwirionedd fod y ddau ben wedi cytuno.

Nid cysylltiad llwyddiannus yw’r llinell derfyn. Agorwch yr ap y mae’r defnyddiwr yn malio amdano, oherwydd mae llwybrau, DNS a wthir a gosodiadau twnnel hollt yn methu ar ôl i’r twnnel godi ac yn cynhyrchu dim blwch deialog gwall o gwbl.

Awtomeiddiwch ef, a rholiwch yn ôl yn lân

Gosodiad dioruchwyliaeth yw’r rheswm dros sgriptio hyn, a’r cam deialu yw lle mae manylion yn gollwng. Mae rasdial yn eu cymryd ar ei linell orchymyn, lle gall defnyddwyr lleol eraill a’r rhan fwyaf o gasglwyr cofnodion eu darllen:

subprocess.run(["rasdial", "Contoso L2TP"], check=True)

Mae’n well gennych fanylyn wedi’i gwmpasu i’r cyfrif sy’n rhedeg y swydd, neu adael i’r proffil ei storio gyda -RememberCredential, na phasio cyfrinair fel dadl mewn tasg wedi’i hamserlennu. Mae’r gorchmynion darparu eu hunain yn ddiogel i’w hailadrodd gyda -Force, ond byddant yn hapus yn gorchuddio cynnig hen, felly dim ond os yw’r sgript yn cario’r gwerthoedd cyfredol y mae ailrediad yn helpu.

Mae proffiliau’n parhau ar draws ailgychwyn ac yn byw yn hirach na chyfluniad y giât y cawsant eu creu ar ei gyfer. Pan fydd cynnig y giât yn symud, dilëwch y cofnod a’i greu eto yn hytrach na haenu ail set o werthoedd ar ei ben: Remove-VpnConnection -Name "Contoso L2TP" -Force, yna ailadroddwch y ddau cmdlet gyda’r set newydd.

Caewch y ddolen gyda phedwar gwiriad sy’n byw wrth ymyl y sgript: mae Get-VpnConnection yn dangos y math twnnel a’r lefel amgryptio a ddisgwylir; mae’r giât yn cofnodi cam 1 a cham 2 wedi’u cwblhau ar gyfer cyfeiriad eich cleient; mae rasdial yn dychwelyd llwyddiant ac mae’r ap yn agor; ac mae’r cynnig a gofnodwyd yn y sgript yn cyfateb i osodiad cyfredol y giât. Pan ddaw’r 789 nesaf, mae’r gymhariaeth honno yn cymryd munudau yn hytrach na phrynhawn.