789 errorea L2TP/IPsec Windows-en: sortu profila eta finkatu proposamena

789 errorea IPsec trukean galtzen da, ez pasahitzan. Sortu L2TP profila script baten bidez, finkatu proposamena eta irakurri hurrengo kodeak etapa artean.

Windows-eko L2TP konexio batean 789 erroreak esan nahi du tunela IPsec segurtasun trukearen barruan hil zela, eta hori gertatzen da Windows-ek erabiltzailearen pasahitza inora bidali baino askoz lehenago. Pasahitza berriro saiatzeak edo direktorioan berrezartzeak ezin du etapa hori aurrera eraman. Aurrera eramaten duena da konexioa PowerShell-etik berreraikitzea atebideak benetan eskaintzen duen proposamenarekin, Izarpenen morroiak isilpean aukeratzen baititu IPsec transformazioak eta ez dizu inoiz erakusten zer aukeratu duen. Hau da horretarako gida: sortu profila, finkatu proposamena, eta gero erabili etapa taula bat hurrengo kodeak zerbait esan diezazun.

Sortu profila morroirik gabe

Add-VpnConnection-k telefono-koadernoko sarrera natiboa idazten du, beraz emaitza Izarpenen aplikazioak geroago editatzen duen objektu bera da. Exekutatu saio igoki batetik konexioa makinako kontu guztientzat egon behar denean, edo erabiltzailearen testuingurutik pribatu mantendu behar denean:

Add-VpnConnection -Name "Contoso L2TP" `
  -ServerAddress 203.0.113.10 `
  -TunnelType L2tp `
  -EncryptionLevel Required `
  -AuthenticationMethod MSChapv2 `
  -RememberCredential -Force

Egin bat -AuthenticationMethod atebideak eskaintzen duenarekin. MSChapv2, EAP eta PAP ez dira trukagarriak, eta zerbitzariak onartuko ez duen metodoa eskatzen duen profila erabiltzaileen erregistroa kontsultatu aurretik ere huts egiten du. Mantendu -EncryptionLevel Required edozein gauza errealetarako; Optional-ek Windows-i uzten dio tunel enkriptatugabea onartzen parekoak bat eskaintzen badu, eta hori laborategiko lasterbidea da, ez bidaltzeko ezarpena.

-L2tpPsk pasatzen baduzu, aurrez partekatutako gako hori diskoan dagoen profilean idazten da, eta makina horretan profila irakur dezakeen edonork berreskura dezake. Erabili ziurtagiria parekoaren autentifikaziorako atebideak onartzen duenean, eta PSK saihestezina denean, eduki ezazu biltegitik kanpo eta shell historiatik kanpo, hornikuntza exekuzio bakoitzean itsatsi beharrean.

Finkatu proposamena, lehenetsitako balioak onartu beharrean

Windows-ek berak betetzen ditu IPsec transformazioak, eta horregatik itxuraz berdinak diren bi makinak desberdin huts egin dezakete atebide beraren aurka. Set-VpnConnectionIPsecConfiguration da horiek finkatzeko modu onartua:

Set-VpnConnectionIPsecConfiguration -ConnectionName "Contoso L2TP" `
  -AuthenticationTransformConstants SHA256128 `
  -CipherTransformConstants AES128 `
  -EncryptionMethod AES128 `
  -IntegrityCheckMethod SHA256 `
  -DHGroup Group14 `
  -PfsGroup None `
  -PassThru -Force

Multzo hori L2TP/IPsec antolamendu arrunta da, ez erantzun unibertsala. Parametro bakoitzak balio zerrenda finkoa onartzen du, eta plataformak mapatu ezin duen konbinazioa cmdlet errore gisa itzultzen da, isilpean ahuldutako profil gisa beharrean. Hartu errore hori balioei buruzko adierazpen gisa, ez zure baimenei buruzkoa.

Kopiatu proposamena atebidearen dokumentaziotik edo bere fase-1 eta fase-2 ezarpen bizietatik, eta aldatu eremu bat aldi berean bakarrik atebideak ukatzen dituen transformazioak erregistratzen dituen bitartean. Bost eremu zeharkatzeak ustekabean funtzionatzen duen konexioa eta hurrengo pertsonari ezer azaltzen ez dion erregistroa sortzen ditu.

Irakurri huts egitea etaparen arabera, ez errorearen testuaren arabera

789 bezeroaren elkarrizketa-koadroan berdinak diruditen kode familia batekoa da. Jarri kodea dagokion etaparen parean profila berriro ukitu aurretik:

What you seeStage that failedCheck first
Nothing happens, then a timeoutNo IKE response at allServer address, UDP 500 and 4500 reachability, NAT traversal on the gateway
Error 789IKE security exchangeProposal, pre-shared key, certificate trust and client clock
Error 691 or a repeated password promptUser authenticationAccount state, domain, RADIUS or NPS policy
Tunnel up, some hosts unreachableRouting or DNS after PPPSplit-tunnel routes, pushed DNS, remote subnet mask

Kredentzialen bi rolek garrantzia dute hemen. Aurrez partekatutako gakoak edo ziurtagiriak parekoak elkarren artean autentifikatzen ditu, MSChapv2 edo EAP-ek tunelaren barruan zu autentifikatzen zaituen bitartean. Erabiltzailearen pasahitza berrezartzeak ezin du lehena konpondu, sekretu partekatu berriak ezin du bigarrena konpondu, eta biak batera aldatzeak zein oker zegoen frogatzeko froga suntsitzen du.

Ziurtagiriaren bidean, egiaztatu bezeroaren erlojua, konfiantza-katea eta atebideak espero duen identitatea baliozkotzea arintzea pentsatu aurretik. Baliozkotzea desaktibatzeak 789 ikusgai bat pareko okerraz fidatuz konektatzen den tunel bihurtzen du, eta bezeroan ezerk ez dizu esango hori gertatu denik. Microsoft-en urrutiko sarbidearen errore zerrenda da kodeen beraren erreferentzia, eta segurtasun geruzako hutsegiteak saio-hasierako hutsegiteetatik bereizten ditu.

Egiaztatu bi muturretatik konpondutzat eman aurretik

Irakurri profila atzera, baina ez espero proposamena irteeran. Get-VpnConnection-k izena, zerbitzariaren helbidea, tunel mota, enkriptatze maila eta autentifikazio metodoa jakinarazten ditu, eta ez daki ezer transformazioei buruz, beraz irakurketak baieztatzen du sarrera badagoela eta ostalari egokiari begira dagoela:

Get-VpnConnection -Name "Contoso L2TP" |
  Select-Object Name, ServerAddress, TunnelType, EncryptionLevel, AuthenticationMethod

Markatu komando lerrotik, elkarrizketa-koadro baten ordez zenbaki bat lortzeko: rasdial "Contoso L2TP"-k interfazeak emango lukeen huts errore kodea bera itzultzen du, eta rasdial "Contoso L2TP" /disconnect-k saioen artean garbitzen du. Gero irakurri atebidearen aldea saio berberarentzat. strongSwan-en ipsec statusall-k edo router baten IKE erregistroak adierazten du zein proposamen iritsi zen eta zein ukatua izan zen, eta hori cmdlet balioekin alderatzea da bi muturrek adostasuna lortu zutela benetan frogatzen duen urrats bakarra.

Konexio arrakastatsua ez da helmuga. Ireki erabiltzaileari axola zaion aplikazioa, ibilbideek, bultzatutako DNSak eta tunel zatituaren ezarpenek tunela altxatu ondoren huts egiten baitute eta ez baitute inolako errore elkarrizketa-koadrorik sortzen.

Automatizatu eta atzera egin garbi

Gainbegiratu gabeko instalazioa da hau script batekin egiteko arrazoia, eta markatze urratsa da kredentzialak ihes egiten duten tokia. rasdial-k bere komando lerroan hartzen ditu, eta bertan beste erabiltzaile lokal batzuek eta erregistro biltzaile gehienek irakur ditzakete:

subprocess.run(["rasdial", "Contoso L2TP"], check=True)

Hobetsi lana exekutatzen duen kontura mugatutako kredentzial bat, edo utzi profilari -RememberCredential-rekin gordetzen, programatutako zeregin batean pasahitza argumentu gisa pasatzearen ordez. Hornikuntza komandoak beraiek seguruak dira -Force-rekin errepikatzeko, baina proposamen zaharra gustura gainidatziko dute, beraz berriz exekutatzeak laguntzen du scriptak uneko balioak badaramatza.

Profilek berrabiarazteak gainditzen dituzte eta eraiki ziren atebidearen konfigurazioak baino gehiago irauten dute. Atebidearen proposamena mugitzen denean, kendu sarrera eta sortu berriro, bigarren balio multzo bat gainean jartzearen ordez: Remove-VpnConnection -Name "Contoso L2TP" -Force, eta gero errepikatu bi cmdlet-ak multzo berriarekin.

Itxi begizta scriptaren ondoan bizi diren lau egiaztapenekin: Get-VpnConnection-k espero den tunel mota eta enkriptatze maila erakusten ditu; atebideak zure bezeroaren helbiderako osatutako 1 fasea eta 2 fasea erregistratzen ditu; rasdial-k arrakasta itzultzen du eta aplikazioa irekitzen da; eta scriptan erregistratutako proposamenak uneko atebide ezarpenarekin bat egiten du. Hurrengo 789 iristean, alderaketa horrek minutu batzuk hartzen ditu, arratsalde oso bat beharrean.

Erlazionatutako artikuluak