Zergatik gelditzen dira PPTP eta L2TP/IPsec erabiltzaile-izena eskatu aurretik?
Erabiltzaile-izenaren eskaerarik ez egoteak PPP ez zela inoiz hasi esan nahi du, beraz akatsa garraioan, gako-trukean edo tunelaren muntaketan dago. Egiaztatu etaparen ordena berriro instalatu aurretik.
Erabiltzaile-izenaren eskaerarik ez egotea diagnostiko-opari bat da: PPP oraindik ez da hasi, beraz kontua, pasahitza eta domeinu-politika ez dira oraindik kontsultatu. PPTP edo L2TP/IPsec konexioan bezeroak kredentzialak tunela existitzen denean eta zerbitzariak PPP saio bat hasi denean soilik eskatzen ditu. Une horren aurretik huts egin dezakeen guztia garraioa, gako-trukea edo tunelaren muntaketa da, «VPN hondatuta dago» baino askoz azalera txikiagoa.
Falta den eskaerak akatsa hiru etapara murrizten du
Idatzi ikusgai arrakasta izan zuen azken etapa, bakoitzak jabe desberdina eta konponbide desberdina baitu. Bi etapa lehenago trabatuta zaudela kontuaren ezarpenak asmatzea arratsalde bat nola desagertzen den da.
| Stage | What has to work | How a failure looks |
|---|---|---|
| Reach | UDP 500, 4500 and 1701 — or TCP 1723 plus GRE — through every firewall and NAT device | Client hangs, then reports no response |
| Key exchange | Preshared key or certificate, phase 1 and phase 2 proposals | Fast error, or a stall after the client says it is verifying |
| Tunnel | L2TP or PPTP control channel, then PPP starts | Connects, then closes with no prompt |
| User auth | PPP credentials and an address pool with room | Prompt appears, then a rejection |
Eskaerarik gabe iraungitzen den bezeroak ez zuen inoiz IPsec elkarketarik lortu, beraz akatsa IKE-n dago edo zure paketeak atebidera iristen ote diren. Kredentzialak egiaztatzen ari dela jakinarazi eta gero erortzen dena mezuak iradokitzen duena baino urrunago iritsi zen. Eskaeraren ondoren ukazio bat etortzea PPP autentifikazioa da, eta hori kontu-artikulu baterako da, ez honetarako.
Lehen etapa: suebaki batek isil-isilik botatzen duen protokoloa
PPTPk TCP 1723 behar du kontrol-kanalerako eta IP protokolo 47 datu-biderako, eta biak bereiz bidaiatzen dute. Sare askok 1723 aurreratzen dute eta 47 protokoloa botatzen dute, negoziatzen duen eta gero ezer ere ez daraman tunel bat sortuz. NAT egiten duen bideratzaileak GRE-rekin bateragarria den pasabide bat ere behar du, eta IPv6 soilik den sarbide-bide batek ezin du PPTP eraman konfigurazio batean ere.
IPsec gaineko L2TPk 500 portua gastatzen du IKE-n eta 4500 portua NAT zeharkatzean, gero L2TP trafikoa bera 1701-en biltzen du, eta ESPk babestutako karga darama elkarketa existitzen denean. Onartu bi kontrol-portuak baina ez ESP, eta izenburuko sintoma bera lortuko duzu: aurrerapen ikusgai, gero bezero hila kredentzialen elkarrizketaren aurretik. Mugikorren hotspot batetik probatzea bezeroaren arazoa bidearen arazotik bereizteko modu merkea da.
Bigarren etapa: gakoa ez den gako bat, eskaintzen ez den proposamen bat
Bat ez datorren aurrez partekatutako gakoak azkar eta isilik huts egiten du, eta ohiko bertsioa pantailan zuzena dirudien baina itsatsitako lerro-jauzi bat edo amaieran zuriune bat daraman gakoa da. Linux bezeroan elkarrizketa ez da nahitaez egia-iturria: NetworkManager-en L2TP pluginak sekretuak gordetzen ditu /etc/ipsec.d/ azpiko fitxategietan, eta /etc/ipsec.secrets oraindik barne hartzen duen konexio bakoitzeko fitxategi zahar bat erabiliko da oraintxe idatzi duzunaren ordez. Kopiatu fitxategi hori leku seguru batera, atera ezazu barne-hartze bidetik eta, ondoren, idatzi berriro gakoa eskuz.
Etapa honen beste erdia proposamena da. Bi muturrek 1 faseko algoritmo-multzo berean ados jarri behar dute — zifratzea, osotasuna eta Diffie-Hellman taldea — eta 2 faseko ESP eraldaketa egokietan, edo elkarketa ez da batere eratzen. 3DES, SHA1 eta MODP1024 soilik eskaintzen dituen atebide batek algoritmo indartsuagoetarako konfiguratutako bezeroa ukatuko du, eta haren erregistroak ukatu zen eraldaketaren izena ematen du. Erregistroak desadostasunaren izena ematen du zerbitzua berriro abiarazi beharrean irakurtzen baduzu. Foro bateko haritik algoritmo-kate bat kopiatu beharrean, galdetu atebideari zein eraldaketa negoziatuko dituen benetan: haren helbidera zuzendutako ike-scan -k negoziatuko dituen eraldaketak itzultzen ditu. Eskaintza bakarra zure politikak jada onartzen ez duen kriptografia bada, konponbidea atebidean dago, ez bezeroa mailaz jaistean.
Windowsen gakoa eta autentifikazio-metodoa VPN profilean bizi dira, eta desadostasuna kredentzialen eskaeraren aurretik agertzen da, ez ondoren. Hartzailea Windows Server denean, egiaztatu urruneko sarbidearen rola instalatuta dagoela, ziurtagiria bezeroak konektatzen diren izenarekin bat datorrela eta portu-iragazkirik ez dela goiko protokoloak baino estuagoa.
Hirugarren etapa: tunela badago eta PPP ez da hasten
IKE amaituta eta eskaera inoiz agertzen ez denean, begiratu tunel-deabrua, ez suebakia. L2TPk UDP 1701-en entzuten duen zerbait behar du — xl2tpd edo kl2tpd Linuxen, urruneko sarbide zerbitzua Windowsen — eta instalatuta baina geldituta dagoen zerbitzu bat bezeroaren aldetik botatako pakete baten berdin ikusten da. Egiaztatu entzulea jada egiaztatu dituzun arauak berriro ireki aurretik. Ondoren PPPk negoziatu behar du, eta lehen LCP trukea huts isil bat normalean lurreratzen den lekua da.
Etapa honetako tranpa bat ez da batere sare-akatsa: Windowsek VPN mota jakin bateko konexio bakarra baimentzen du aldi berean, beraz bigarren saiakerak 937 errorea itzultzen du, «mota honetako beste konexio bat erabiltzen ari da». Tokiko araua da, eta hura saihesteko bidea beste gailu bat, beste tunel mota bat edo jada existitzen den konexio bakarra partekatzea da.
Irakurri erregistroa etapen ordenan, asmatu beharrean
Gelditu bezeroa, abiarazi berriro, eta irakurri osagaiak erregistroan idazten duten ordenan. Hau da, lehenik IPsec deabrua — strongSwan edo Libreswan, eta ipsec --version -k zein den esaten dizu — gero L2TP deabrua, gero pppd. Huts egin aurretik azken idatzi zuen osagaiak markatzen du ikertu beharreko etapa, zeren sekuentzian haren ondoren datorren guztia ez zen batere exekutatu.
Egiaztatu konexio berri batekin, ez gordetako saio batekin, zeren cachetik berriro konektatzen den bezeroak trukearen zatiak salto ditzake eta emaitza zaharkitua erreproduzi dezake. Egiaztatu irismena, gako-trukea, tunela eta PPP banan-banan, ordena horretan. Orduan falta den eskaera misterio izateari uzten dio eta benetan landu daitekeen zerrenda baten bigarren lerro bihurtzen da. Zerrenda hori da sare-taldeari ematen diozuna, bestela martxan ez dagoen deabru batean bizi den akats batengatik suebakia berrikusteko eskatuko litzaiekeena.