Earráid 789 L2TP/IPsec ar Windows: cruthaigh an phróifíl agus pionnáil an togra

Ciallaíonn earráid 789 ar nasc L2TP Windows go bhfuil an tollán marbh taobh istigh den idirmhalartú slándála IPsec, rud a tharlaíonn i bhfad sula seolann Windows focal faire úsáideora áit ar bith. Ní féidir le hatriail an fhocail faire, ná lena athshocrú san eolaire, an chéim sin a bhogadh ar aghaidh. Is é a bhogann ar aghaidh í ná an nasc a atógáil ó PowerShell leis an togra a thairgeann an geata i ndáiríre, toisc go roghnaíonn draoi na Socruithe na claochluithe IPsec go ciúin agus ní thaispeánann sé duit riamh cad a roghnaigh sé. Seo an lámhleabhar chuige sin: cruthaigh an phróifíl, pionnáil an togra, agus ansin úsáid tábla céimeanna ionas go n-inseoidh an chéad chód eile rud éigin duit.

Cruthaigh an phróifíl gan an draoi

Scríobhann Add-VpnConnection iontráil dhúchasach leabhair ghutháin, mar sin is é an toradh an rud céanna a n-eagraíonn an aip Socruithe níos déanaí. Rith é ó sheisiún ardaithe nuair ba chóir don nasc a bheith ann do gach cuntas ar an meaisín, nó ó chomhthéacs an úsáideora nuair ba chóir dó fanacht príobháideach:

Add-VpnConnection -Name "Contoso L2TP" `
  -ServerAddress 203.0.113.10 `
  -TunnelType L2tp `
  -EncryptionLevel Required `
  -AuthenticationMethod MSChapv2 `
  -RememberCredential -Force

Meaitseáil -AuthenticationMethod leis an méid a thairgeann an geata. Níl MSChapv2, EAP agus PAP idirmhalartach, agus teipeann próifíl a éilíonn modh nach nglacfaidh an freastalaí roimh aon taifead úsáideora a cheadú. Coinnigh -EncryptionLevel Required do rud ar bith fíor; ligeann Optional do Windows tollán neamhchriptithe a ghlacadh má thairgeann an piara ceann, rud atá ina aicearra saotharlainne agus ní ina shocrú le seoladh.

Má sheolann tú -L2tpPsk, scríobhtar an eochair réamhroinnte sin isteach sa phróifíl ar an diosca, óna féadfaidh aon duine ar féidir leis an phróifíl a léamh ar an meaisín sin í a aisghabháil. Úsáid teastas le haghaidh fíordheimhniú an phiara nuair a thacaíonn an geata leis, agus nuair a bhíonn PSK dosheachanta, coinnigh lasmuigh den stór agus lasmuigh de stair an scealla é in ionad é a ghreamú isteach i ngach rith soláthair.

Pionnáil an togra in ionad na réamhshocruithe a ghlacadh

Líonann Windows na claochluithe IPsec féin, agus sin an fáth ar féidir le dhá mheaisín a bhfuil nasc atá cosúil le bheith comhionann acu teip ar bhealaí éagsúla i gcoinne an gheata chéanna. Is é Set-VpnConnectionIPsecConfiguration an bealach tacaithe chun iad a phionnáil:

Set-VpnConnectionIPsecConfiguration -ConnectionName "Contoso L2TP" `
  -AuthenticationTransformConstants SHA256128 `
  -CipherTransformConstants AES128 `
  -EncryptionMethod AES128 `
  -IntegrityCheckMethod SHA256 `
  -DHGroup Group14 `
  -PfsGroup None `
  -PassThru -Force

Is é an tacar sin aon socrú L2TP/IPsec coitianta, ní freagra uilíoch. Glacann gach paraiméadar liosta socraithe luachanna, agus tagann teaglaim nach féidir leis an ardán a mhapáil ar ais mar earráid cmdlet in ionad próifíl a laghdófaí go ciúin. Caith le hearráid den sórt sin mar ráiteas faoi na luachanna, ní faoi do cheadanna.

Cóipeáil an togra ó dhoiciméadú an gheata nó óna shocruithe beo céime 1 agus céime 2, agus ná athraigh ach réimse amháin ag a am ina dhiaidh sin amháin agus an geata ag logáil na gclaochluithe a dhiúltaíonn sé. Cruthaíonn dul trí chúig réimse nasc a oibríonn trí thimpiste agus taifead nach míníonn aon rud don chéad duine eile.

Léigh teip de réir céime, ní de réir théacs na hearráide

Baineann 789 le teaghlach cóid ar cosúil go bhfuil siad uile mar an gcéanna i ndialóg an chliaint. Cuir an cód in aghaidh na céime lena mbaineann sé sula dteagmhálann tú an phróifíl arís:

Tá tábhacht le dhá ról na ndintiúr anseo. Fíordhearbhaíonn eochair réamhroinnte nó teastas na piaraí dá chéile, agus fíordhearbhaíonn MSChapv2 nó EAP tusa laistigh den tollán. Ní féidir le hathshocrú focal faire úsáideora an chéad cheann a shocrú, ní féidir le rún comhroinnte nua an dara ceann a shocrú, agus scriosann athrú an dá cheann le chéile an fhianaise faoi cé acu a bhí mícheart.

Ar chonair an teastais, seiceáil clog an chliaint, an tslabhra muiníne agus an t-aitheantas a bhfuiltear ag súil leis ón gheata sula smaoiníonn tú ar an bhfíorú a mhaolú. Athraíonn díchumasú an fhíoraithe 789 infheicthe ina thollán a nascann agus muinín aige as an phiara mícheart, agus ní inseoidh aon rud sa chliaint duit gur tharla sé sin. liosta earráidí rochtana cianda Microsoft an tagairt do na cóid féin, agus scarann sé teipeanna na cise slándála ó theipeanna lógáil isteach.

Fíoraigh ón dá cheann sula n-abraíonn tú go bhfuil sé socraithe

Léigh an phróifíl ar ais, ach ná bí ag súil leis an togra san aschur. Tuairiscíonn Get-VpnConnection an t-ainm, seoladh an fhreastalaí, cineál an tolláin, leibhéal an chriptithe agus an modh fíordheimhnithe, agus ní bhíonn a fhios aige faoi chlaochluithe, mar sin deimhníonn an t-athléamh go bhfuil an iontráil ann agus go dtagraíonn sí don óstach ceart:

Get-VpnConnection -Name "Contoso L2TP" |
  Select-Object Name, ServerAddress, TunnelType, EncryptionLevel, AuthenticationMethod

Déan diailiú ón líne ordaithe chun uimhir a fháil in ionad dialóg: tugann rasdial "Contoso L2TP" an chód teipe céanna a thabharfadh an comhéadan, agus glanann rasdial "Contoso L2TP" /disconnect é idir iarrachtaí. Ansin léigh taobh an gheata don iarracht chéanna. Deir ipsec statusall ó strongSwan nó loga IKE ródaire cé acu togra a tháinig agus cé acu a diúltaíodh, agus is é an chomparáid sin le luachanna an cmdlet an t-aon chéim a chruthaíonn i ndáiríre gur aontaigh an dá cheann.

Ní hé nasc rathúil an líne chríche. Oscail an aip ar miste leis an úsáideoir í, toisc go dteipeann ar na bealaí, ar an DNS brúite agus ar shocruithe an tolláin scoite tar éis don tollán a bheith suas agus ní tháirgeann siad aon dialóg earráide ar chor ar bith.

Uathoibrigh é, agus rollaigh siar go glan

Is é an socrú gan duine a bheith i láthair an fáth a scríobhtar script dó seo, agus is é an chéim dhiailithe an áit a sceitheann na dintiúir. Tógann rasdial iad ar a líne ordaithe, áit ar féidir le húsáideoirí áitiúla eile agus le formhór na mbailitheoirí loga iad a léamh:

subprocess.run(["rasdial", "Contoso L2TP"], check=True)

B'fhearr dintiúr atá teoranta don chuntas a ritheann an jab, nó lig don phróifíl é a stóráil le -RememberCredential, ná focal faire a sheoladh mar argóint i dtasc sceidealta. Tá na horduithe soláthair féin sábháilte le hathrá le -Force, ach clúdóidh siad seancheann go sásta, mar sin ní chabhraíonn ath-rith ach amháin má iompraíonn an script na luachanna reatha.

Maireann próifílí thar atosú agus maireann siad níos faide ná cumraíocht an gheata ar tógadh iad di. Nuair a bhogann togra an gheata, bain an iontráil agus cruthaigh arís í in ionad tacar luachanna eile a chur air: Remove-VpnConnection -Name "Contoso L2TP" -Force, agus ansin déan an dá cmdlet a athrá leis an tacar nua.

Dún an lúb le ceithre sheiceáil a mhaireann taobh leis an script: taispeánann Get-VpnConnection cineál an tolláin agus leibhéal an chriptithe a bhfuiltear ag súil leo; logálann an geata céim 1 agus céim 2 críochnaithe do sheoladh do chliaint; tugann rasdial rath agus osclaíonn an aip; agus cloíonn an togra a thaifeadtar sa script le socrú reatha an gheata. Nuair a thagann an chéad 789 eile, tógann an chomparáid sin nóiméid in ionad tráthnóna.