Γιατί σταματούν τα PPTP και L2TP/IPsec πριν από το αίτημα ονόματος χρήστη;

Η απουσία αιτήματος ονόματος χρήστη είναι διαγνωστικό δώρο: το PPP δεν έχει ξεκινήσει ακόμη, οπότε ο λογαριασμός, ο κωδικός και η πολιτική τομέα δεν έχουν ερωτηθεί ακόμη. Σε σύνδεση PPTP ή L2TP/IPsec ο πελάτης ζητά διαπιστευτήρια μόνο αφού υπάρξει η σήραγγα και ο διακομιστής ξεκινήσει συνεδρία PPP. Ό,τι μπορεί να αποτύχει πριν από εκείνη τη στιγμή είναι μεταφορά, ανταλλαγή κλειδιών ή δημιουργία σήραγγας, δηλαδή πολύ μικρότερη επιφάνεια από το «το VPN είναι χαλασμένο».

Το απόν αίτημα περιορίζει το σφάλμα σε τρία στάδια

Σημειώστε το τελευταίο στάδιο που πέτυχε ορατά, γιατί το καθένα έχει διαφορετικό ιδιοκτήτη και διαφορετική διόρθωση. Το να μαντεύετε τις ρυθμίσεις λογαριασμού ενώ έχετε κολλήσει δύο στάδια νωρίτερα είναι ο τρόπος που χάνεται ένα απόγευμα.

Πελάτης που λήγει χωρίς αίτημα δεν απέκτησε ποτέ συσχέτιση IPsec, άρα το σφάλμα είναι στο IKE ή στο αν τα πακέτα σας φτάνουν καθόλου στην πύλη. Όποιος αναφέρει ότι επαληθεύει διαπιστευτήρια και μετά πέφτει έφτασε πιο μακριά απ' ό,τι υπονοεί το μήνυμα. Αίτημα που ακολουθείται από απόρριψη είναι έλεγχος ταυτότητας PPP και ανήκει σε άρθρο λογαριασμού, όχι σε αυτό.

Πρώτο στάδιο: το πρωτόκολλο που ένα τείχος προστασίας απορρίπτει σιωπηλά

Το PPTP χρειάζεται TCP 1723 για το κανάλι ελέγχου και πρωτόκολλο IP 47 για τη διαδρομή δεδομένων, και τα δύο ταξιδεύουν χωριστά. Πολλά δίκτυα προωθούν το 1723 και απορρίπτουν το πρωτόκολλο 47, κάτι που παράγει σήραγγα που διαπραγματεύεται και μετά δεν μεταφέρει απολύτως τίποτε. Ένας δρομολογητής με NAT χρειάζεται επίσης διέλευση με υποστήριξη GRE, και διαδρομή πρόσβασης μόνο IPv6 δεν μπορεί να μεταφέρει PPTP με καμία ρύθμιση.

Το L2TP πάνω από IPsec ξοδεύει τη θύρα 500 στο IKE και τη θύρα 4500 στη διάσχιση NAT, μετά τυλίγει την ίδια την κίνηση L2TP στο 1701, ενώ το ESP μεταφέρει το προστατευμένο φορτίο μόλις υπάρξει η συσχέτιση. Επιτρέψτε τις δύο θύρες ελέγχου αλλά όχι το ESP και θα πάρετε ακριβώς το σύμπτωμα του τίτλου: ορατή πρόοδος και μετά νεκρός πελάτης πριν από οποιονδήποτε διάλογο διαπιστευτηρίων. Η δοκιμή από hotspot κινητού είναι φθηνός τρόπος να ξεχωρίσετε πρόβλημα πελάτη από πρόβλημα διαδρομής.

Δεύτερο στάδιο: ένα κλειδί που δεν είναι το κλειδί, μια πρόταση που δεν προσφέρεται

Ένα προκοινόχρηστο κλειδί που δεν ταιριάζει αποτυγχάνει γρήγορα και σιωπηλά, και η συνηθισμένη εκδοχή είναι κλειδί που φαίνεται σωστό στην οθόνη ενώ κουβαλά μια επικολλημένη αλλαγή γραμμής ή ένα κενό στο τέλος. Σε πελάτη Linux ο διάλογος δεν είναι απαραίτητα η πηγή της αλήθειας: το πρόσθετο L2TP του NetworkManager κρατά μυστικά σε αρχεία κάτω από /etc/ipsec.d/, και ένα παλαιότερο αρχείο ανά σύνδεση που το /etc/ipsec.secrets εξακολουθεί να περιλαμβάνει θα χρησιμοποιηθεί αντί για εκείνο που μόλις πληκτρολογήσατε. Αντιγράψτε αυτό το αρχείο σε ασφαλή θέση, βγάλτε το από τη διαδρομή συμπερίληψης και μετά ξαναγράψτε το κλειδί με το χέρι.

Το άλλο μισό αυτού του σταδίου είναι η πρόταση. Και τα δύο άκρα πρέπει να συμφωνήσουν στο ίδιο σύνολο αλγορίθμων φάσης 1 — κρυπτογράφηση, ακεραιότητα και ομάδα Diffie-Hellman — και σε αντίστοιχους μετασχηματισμούς ESP για τη φάση 2, αλλιώς η συσχέτιση δεν σχηματίζεται καθόλου. Πύλη που προσφέρει μόνο 3DES, SHA1 και MODP1024 θα απορρίψει πελάτη ρυθμισμένο για ισχυρότερους αλγορίθμους, και το αρχείο καταγραφής της ονομάζει τον μετασχηματισμό που απορρίφθηκε. Το αρχείο καταγραφής ονομάζει την ασυμφωνία αν το διαβάσετε αντί να επανεκκινήσετε ξανά την υπηρεσία. Αντί να αντιγράψετε μια συμβολοσειρά αλγορίθμων από νήμα φόρουμ, ρωτήστε την πύλη ποιους μετασχηματισμούς θα διαπραγματευτεί πραγματικά: το ike-scan στραμμένο στη διεύθυνσή της επιστρέφει τους μετασχηματισμούς που θα διαπραγματευτεί. Αν η μόνη προσφορά είναι κρυπτογραφία που η πολιτική σας δεν επιτρέπει πλέον, η διόρθωση ανήκει στην πύλη, όχι σε υποβάθμιση του πελάτη.

Στα Windows το κλειδί και η μέθοδος ελέγχου ταυτότητας ζουν στο προφίλ VPN, και μια ασυμφωνία εμφανίζεται πριν από το αίτημα διαπιστευτηρίων και όχι μετά. Όπου ο δέκτης είναι Windows Server, επιβεβαιώστε ότι ο ρόλος απομακρυσμένης πρόσβασης είναι εγκατεστημένος, ότι το πιστοποιητικό ταιριάζει με το όνομα στο οποίο συνδέονται οι πελάτες και ότι κανένα φίλτρο θυρών δεν είναι στενότερο από τα παραπάνω πρωτόκολλα.

Τρίτο στάδιο: η σήραγγα υπάρχει και το PPP δεν ξεκινά ποτέ

Όταν το IKE ολοκληρωθεί και το αίτημα δεν εμφανιστεί ποτέ, κοιτάξτε τον δαίμονα της σήραγγας και όχι το τείχος προστασίας. Το L2TP χρειάζεται κάτι που ακούει στο UDP 1701 — xl2tpd ή kl2tpd στο Linux, την υπηρεσία απομακρυσμένης πρόσβασης στα Windows — και μια υπηρεσία εγκατεστημένη αλλά σταματημένη φαίνεται από την πλευρά του πελάτη ίδια με ένα πακέτο που απορρίφθηκε. Ελέγξτε τον ακροατή πριν ανοίξετε ξανά κανόνες που έχετε ήδη επαληθεύσει. Μετά το PPP πρέπει να διαπραγματευτεί, και η πρώτη ανταλλαγή LCP είναι εκεί όπου συνήθως προσγειώνεται μια σιωπηλή αποτυχία.

Μια παγίδα σε αυτό το στάδιο δεν είναι καθόλου σφάλμα δικτύου: τα Windows επιτρέπουν μόνο μία σύνδεση δεδομένου τύπου VPN τη φορά, οπότε μια δεύτερη προσπάθεια επιστρέφει σφάλμα 937, «άλλη σύνδεση αυτού του τύπου βρίσκεται σε χρήση». Είναι τοπικός κανόνας, και ο τρόπος να τον παρακάμψετε είναι άλλη συσκευή, άλλος τύπος σήραγγας ή κοινή χρήση της μίας σύνδεσης που υπάρχει ήδη.

Διαβάστε το αρχείο καταγραφής με τη σειρά των σταδίων αντί να μαντεύετε

Σταματήστε τον πελάτη, ξεκινήστε τον ξανά και διαβάστε τα στοιχεία με τη σειρά που γράφουν στο αρχείο καταγραφής. Δηλαδή πρώτα ο δαίμονας IPsec — strongSwan ή Libreswan, και το ipsec --version σας λέει ποιος — μετά ο δαίμονας L2TP, μετά το pppd. Όποιο στοιχείο έγραψε τελευταίο πριν από την αποτυχία σηματοδοτεί το στάδιο προς διερεύνηση, γιατί ό,τι έρχεται μετά από αυτό στη σειρά δεν έτρεξε καθόλου.

Επαληθεύστε με φρέσκια σύνδεση και όχι με αποθηκευμένη συνεδρία, γιατί πελάτης που επανασυνδέεται από την προσωρινή μνήμη μπορεί να παραλείψει μέρη της ανταλλαγής και να αναπαραγάγει παλιό αποτέλεσμα. Επιβεβαιώστε προσβασιμότητα, ανταλλαγή κλειδιών, σήραγγα και PPP ένα ένα, με αυτή τη σειρά. Τότε το απόν αίτημα παύει να είναι μυστήριο και γίνεται η δεύτερη γραμμή μιας λίστας με την οποία μπορείτε πραγματικά να δουλέψετε. Αυτή η λίστα είναι και αυτό που παραδίδετε στην ομάδα δικτύου, η οποία αλλιώς θα κληθεί να ελέγξει το τείχος προστασίας για σφάλμα που ζει σε δαίμονα που δεν ξεκίνησε.