Wêrom stopje PPTP en L2TP/IPsec foar de oanfreech op brûkersnamme?
Gjin oanfreech op brûkersnamme betsjut dat PPP nea begûn is, dus de flater sit yn ferfier, kaai-útwikseling of tunnelopset. Kontrolearje de folchoarder fan 'e fazen foar't jo opnij installearje.
Gjin oanfreech op brûkersnamme is in diagnostysk kado: PPP is noch net begûn, dus it akkount, it wachtwurd en it domeinbelied binne noch net rieplachte. Yn in PPTP- of L2TP/IPsec-ferbining freget de klient pas om legitimearring as de tunnel bestiet en de tsjinner in PPP-sesje begûn is. Alles wat foar dat momint mislearje kin, is ferfier, kaai-útwikseling of tunnelopset, wat in folle lytser oerflak is as „de VPN is stikken”.
In ûntbrekkende oanfreech ferhellet de flater ta trije fazen
Skriuw de lêste faze op dy't sichtber slagge, want elk hat in oare eigner en in oare oplossing. Rieden oer de akkountynstellings wylst jo twa fazen earder fêst sitte, is hoe't in middei ferdwynt.
| Stage | What has to work | How a failure looks |
|---|---|---|
| Reach | UDP 500, 4500 and 1701 — or TCP 1723 plus GRE — through every firewall and NAT device | Client hangs, then reports no response |
| Key exchange | Preshared key or certificate, phase 1 and phase 2 proposals | Fast error, or a stall after the client says it is verifying |
| Tunnel | L2TP or PPTP control channel, then PPP starts | Connects, then closes with no prompt |
| User auth | PPP credentials and an address pool with room | Prompt appears, then a rejection |
In klient dy't sûnder oanfreech ferrint, krige nea in IPsec-assosjaasje, dus de flater sit yn IKE of deryn oft jo pakketten de poarte wol berikke. Ien dy't meldt dat er legitimearring ferifiearret en dan falt, kaam fierder as't it berjocht suggerearret. In oanfreech folge troch in ôfwizing is PPP-autentikaasje, en dat heart yn in akkountartikel, net yn dit.
Faze ien: it protokol dat in fjoermuorre stilwei falle lit
PPTP hat TCP 1723 nedich foar syn kontrôlekanaal en IP-protokol 47 foar it datapad, en de beide reizgje apart. In protte netwurken stjoere 1723 troch en litte protokol 47 falle, wat in tunnel opsmyt dy't ûnderhannelet en dêrnei hielendal neat draacht. In router dy't NAT docht hat ek in GRE-moglike trochgong nedich, en in tagongspaad allinnich oer IPv6 kin PPTP ûnder gjin inkelde konfiguraasje drage.
L2TP oer IPsec brûkt poarte 500 foar IKE en poarte 4500 foar NAT-trochgong, ferpakt dan it L2TP-ferkear sels yn 1701, wylst ESP de beskerme lading draacht sadree't de assosjaasje bestiet. Lit de twa kontrôlepoarten ta mar net ESP, en jo krije krekt it symptoom út de titel: sichtbere foarútgong, dan in deade klient foar't der ea in legitimearringsdialooch ferskynt. Teste fan in telefoanhotspot is in goedkeape manier om in klientprobleem fan in paadprobleem te skieden.
Faze twa: in kaai dy't de kaai net is, in foarstel dat net oanbean wurdt
In foarôf dielde kaai dy't net oerienkomt mislearret fluch en stil, en de gewoane ferzje is in kaai dy't op it skerm goed liket wylst er in plakt rigelbrek of in spaasje oan 'e ein hat. Op in Linux-klient is de dialooch net needsaaklik de boarne fan wierheid: de L2TP-plug-in fan NetworkManager hâldt geheimen yn triemmen ûnder /etc/ipsec.d/, en in âldere triem per ferbining dy't /etc/ipsec.secrets noch altyd opnimt, sil brûkt wurde yn plak fan dy't jo krekt typt hawwe. Kopiearje dy triem nei in feilich plak, helje har út it opnamepaad en typ de kaai dan mei de hân opnij.
De oare helte fan dizze faze is it foarstel. Beide einen moatte it iens wurde oer deselde faze 1-algoritmeset — fersifering, yntegriteit en Diffie-Hellman-groep — en oer bypassende ESP-transformaasjes foar faze 2, oars foarmet de assosjaasje him hielendal net. In poarte dy't allinnich 3DES, SHA1 en MODP1024 oanbiedt, sil in klient wegerje dy't foar sterkere algoritmen ynsteld is, en har log neamt de wegere transformaasje. It log neamt de misferhâlding as jo it lêze ynstee fan de tsjinst wer opnij te starten. Ynstee fan in algoritmereach út in forumtried te kopiearjen, freegje de poarte hokker transformaasjes se wier úthannelje sil: ike-scan rjochte op har adres jout de transformaasjes werom dy't se úthannelje sil. As it iennichste oanbod kryptografy is dy't jo belied net mear tastiet, heart de reparaasje by de poarte, net by in delstap fan 'e klient.
Op Windows wenje de kaai en de autentikaasjemetoade yn it VPN-profyl, en in misferhâlding komt earder as de legitimearringsoanfreech oan it ljocht as dêrnei. Wêr't de ûntfanger in Windows Server is, befêstigje dat de rol foar op ôfstân tagong ynstallearre is, dat it sertifikaat oerienkomt mei de namme dêr't klanten op ferbine, en dat gjin poartefilter smeller is as de protokollen hjirboppe.
Faze trije: de tunnel bestiet en PPP begjint nea
As IKE klear is en de oanfreech dochs nea ferskynt, sjoch dan nei de tunneldemon ynstee fan 'e fjoermuorre. L2TP hat eat nedich dat op UDP 1701 harket — xl2tpd of kl2tpd op Linux, de tsjinst foar op ôfstân tagong op Windows — en in tsjinst dy't ynstallearre mar stoppe is, liket fan 'e klientside krekt as in fuortgoaid pakket. Kontrolearje de harker foar't jo regels wer iepenje dy't jo al ferifiearre hawwe. Dêrnei moat PPP ûnderhannelje, en de earste LCP-útwikseling is wêr't in stille mislearring meast lânet.
Ien falstrik yn dizze faze is hielendal gjin netwurkflater: Windows lit mar ien ferbining fan in opjûne VPN-type tagelyk ta, dus in twadde besykjen jout flater 937, „in oare ferbining fan dit type is yn gebrûk”. Dat is in lokale regel, en de manier om deromhinne is in oar apparaat, in oar tunneltype of it diele fan 'e iene ferbining dy't al bestiet.
Lês it log yn fazefolchoarder ynstee fan te rieden
Stopje de klient, start him opnij en lês de komponinten yn 'e folchoarder wêryn't se logge. Dat betsjut earst de IPsec-demon — strongSwan of Libreswan, en ipsec --version fertelt jo hokker — dan de L2TP-demon, dan pppd. Hokker komponint ek as lêste skreau foar de flater, it markearret de faze om te ûndersykjen, want alles wat dêrnei yn 'e folchoarder komt, rûn hielendal net.
Ferifiearje mei in farske ferbining ynstee fan in bewarre sesje, want in klient dy't út 'e cache wer ferbynt, kin dielen fan 'e útwikseling oerslaan en in ferâldere resultaat reprodusearje. Befêstigje berik, kaai-útwikseling, tunnel en PPP ien foar ien, yn dy folchoarder. Dan hâldt de ûntbrekkende oanfreech op in riedsel te wêzen en wurdt it de twadde rigel fan in list dêr't jo wier trochhinne kinne wurkje. Dy list is ek wat jo oan it netwurkteam jouwe, dat oars frege wurde soe de fjoermuorre nei te gean foar in flater dy't yn in net-starte demon wennet.