Cén fáth a stopann PPTP agus L2TP/IPsec roimh an leid ainm úsáideora?
Ciallaíonn easpa leid ainm úsáideora nár thosaigh PPP riamh, mar sin tá an locht sa ghiompar, san idirmhalartú eochracha nó i socrú na tolláin. Seiceáil ord na gcéimeanna sula n-athshuiteáil tú.
Is bronntanas diagnóiseach é easpa leid ainm úsáideora: níl PPP tosaithe fós, mar sin níor cuireadh ceist ar an gcuntas, ar an bhfocal faire ná ar pholasaí an fhearainn. I gceangal PPTP nó L2TP/IPsec ní iarrann an cliant dintiúirí ach amháin tar éis an tollán a bheith ann agus an freastalaí tar éis seisiún PPP a thosú. Is é gach rud a d'fhéadfadh teip roimh an nóiméad sin ná iompar, idirmhalartú eochracha nó socrú tolláin, rud atá i bhfad níos lú ná «tá an VPN briste».
Cúngaíonn an leid atá ar iarraidh an locht go trí chéim
Scríobh síos an chéim dheireanach a d'éirigh go feiceálach, mar tá úinéir difriúil agus réiteach difriúil ag gach ceann. Is é an rud a tharlaíonn nuair a bhíonn tráthnóna imithe ná buille faoi thuairim a thabhairt ar shocruithe an chuntais agus tú sáinnithe dhá chéim níos luaithe.
| Stage | What has to work | How a failure looks |
|---|---|---|
| Reach | UDP 500, 4500 and 1701 — or TCP 1723 plus GRE — through every firewall and NAT device | Client hangs, then reports no response |
| Key exchange | Preshared key or certificate, phase 1 and phase 2 proposals | Fast error, or a stall after the client says it is verifying |
| Tunnel | L2TP or PPTP control channel, then PPP starts | Connects, then closes with no prompt |
| User auth | PPP credentials and an address pool with room | Prompt appears, then a rejection |
Cliant a éagann gan leid ní bhfuair sé comhlachas IPsec riamh, mar sin tá an locht in IKE nó sa mhéid a shroicheann do phacáidí an geata ar chor ar bith. An ceann a deir go bhfuil sé ag fíorú dintiúirí agus a thiteann ansin, chuaigh sé níos faide ná mar a thugann an teachtaireacht le tuiscint. Is fíordheimhniú PPP é leid a leanann diúltú, agus baineann sé sin le halt faoi chuntas, ní leis an gceann seo.
Céim a haon: an prótacal a ligeann balla dóiteáin uaidh go ciúin
Teastaíonn TCP 1723 ó PPTP dá chainéal rialaithe agus prótacal IP 47 dá chonair sonraí, agus taistealaíonn an dá rud ar leithligh. Seolann a lán líonraí 1723 ar aghaidh agus ligeann siad prótacal 47 uaidh, rud a chruthaíonn tollán a dhéanann idirbheartaíocht agus nach n-iompraíonn aon rud ar chor ar bith ina dhiaidh sin. Teastaíonn pas a thacaíonn le GRE ó ródaire a dhéanann NAT freisin, agus ní féidir le conair rochtana IPv6 amháin PPTP a iompar faoi aon chumraíocht.
Caitheann L2TP thar IPsec port 500 ar IKE agus port 4500 ar thrasnú NAT, ansin filltear an trácht L2TP féin i 1701, agus iompraíonn ESP an t-ualach cosanta a luaithe a bhíonn an comhlachas ann. Ceadaigh an dá phort rialaithe ach ní ESP, agus gheobhaidh tú go beacht an tsíomptóm sa teideal: dul chun cinn infheicthe, ansin cliant marbh sula dtagann aon dialóg dintiúirí. Is bealach saor é tástáil ó hotspot fóin chun fadhb cliaint a scaradh ó fhadhb conaire.
Céim a dó: eochair nach í an eochair, togra nach dtairgtear
Teipeann eochair réamhroinnte nach n-aontaíonn go tapa agus go ciúin, agus is é an leagan is coitianta eochair a bhféachann ceart ar an scáileán ach a bhfuil briseadh líne greamaithe nó spás ag a deireadh. Ar chliant Linux ní gá gurb é an dialóg foinse na fírinne: coimeádann breiseán L2TP de chuid NetworkManager rúin i gcomhaid faoi /etc/ipsec.d/, agus úsáidfear seanchomhad in aghaidh an cheangail a bhfuil /etc/ipsec.secrets fós á áireamh in ionad an chinn a chlóscríobh tú anois díreach. Cóipeáil an comhad sin go háit shábháilte, tóg amach as conair an áirimh é, agus ansin clóscríobh an eochair de láimh arís.
Is é an togra an leath eile den chéim seo. Caithfidh an dá cheann teacht ar aonta faoin tsraith chéanna algartam céim 1 — criptiú, sláine agus grúpa Diffie-Hellman — agus faoi chlaochluithe ESP comhoiriúnacha do chéim 2, nó ní fhoirmítear an comhlachas ar chor ar bith. Diúltóidh geata nach dtairgeann ach 3DES, SHA1 agus MODP1024 do chliant atá cumraithe le haghaidh algartam níos láidre, agus ainmníonn a log an claochlú a diúltaíodh. Ainmníonn an log an mhíshuíomh má léann tú é in ionad an tseirbhís a atosú arís. In ionad teaghrán algartam a chóipeáil as snáithe fóraim, fiafraigh den gheata cén chlaochluithe a chaibidleoidh sé i ndáiríre: tugann ike-scan dírithe ar a sheoladh na claochluithe a chaibidleoidh sé. Mura bhfuil sa tairiscint ach cripteagrafaíocht nach gceadaíonn do pholasaí a thuilleadh, baineann an ceartú leis an ngeata, ní le cliant a ísliú.
Ar Windows maireann an eochair agus an modh fíordheimhnithe sa phróifíl VPN, agus tagann míshuíomh chun solais roimh an leid dintiúirí seach i ndiaidh. Nuair is Windows Server an glacadóir, deimhnigh go bhfuil an ról rochtana cianda suiteáilte, go n-aontaíonn an teastas leis an ainm a nascann cliaint leis, agus nach bhfuil aon scagaire port níos cúinge ná na prótacail thuas.
Céim a trí: tá an tollán ann agus ní thosaíonn PPP
Nuair a chríochnaíonn IKE agus nach dtagann an leid fós, féach ar an deamhan tolláin seach ar an mballa dóiteáin. Teastaíonn rud éigin ó L2TP a éisteann ar UDP 1701 — xl2tpd nó kl2tpd ar Linux, an tseirbhís rochtana cianda ar Windows — agus breathnaíonn seirbhís atá suiteáilte ach stoptha ó thaobh an chliaint go beacht mar phacáid a caitheadh amach. Seiceáil an t-éisteoir sula n-osclaíonn tú arís rialacha atá fíoraithe agat cheana. Ansin caithfidh PPP idirbheartaíocht a dhéanamh, agus is é an chéad mhalartú LCP an áit a dtagann teip chiúin i dtír de ghnáth.
Ní locht líonra ar chor ar bith é gaiste amháin sa chéim seo: ní cheadaíonn Windows ach ceangal amháin de chineál VPN ar leith ag an am, mar sin filleann an dara iarracht earráid 937, «tá ceangal eile den chineál seo in úsáid». Is riail áitiúil í sin, agus is é an bealach timpeall uirthi ná gléas eile, cineál tolláin eile, nó an t-aon cheangal atá ann cheana a roinnt.
Léigh an log in ord na gcéimeanna in ionad buille faoi thuairim a thabhairt
Stop an cliant, tosaigh arís é, agus léigh na comhpháirteanna san ord a scríobhann siad log. Is é sin an deamhan IPsec ar dtús — strongSwan nó Libreswan, agus insíonn ipsec --version duit cé acu — ansin deamhan L2TP, ansin pppd. Cibé comhpháirt a scríobh go deireanach roimh an teip is ea a shonraíonn an chéim le himscrúdú, mar níor rith aon rud a thagann ina diaidh sa seicheamh ar chor ar bith.
Fíoraigh le ceangal úr seach le seisiún sábháilte, mar féadann cliant a athnascann ón taisce codanna den mhalartú a scipeáil agus toradh stale a atáirgeadh. Deimhnigh sroicheadh, idirmhalartú eochracha, tollán agus PPP ceann ar cheann, san ord sin. Ansin stopann an leid atá ar iarraidh de bheith ina rúndiamhair agus éiríonn sé ina dhara líne de liosta ar féidir leat oibriú tríd i ndáiríre. Is é an liosta sin freisin a thugann tú don fhoireann líonra, a n-iarrfaí orthu murach sin an balla dóiteáin a sheiceáil le haghaidh locht a mhaireann i ndeamhan nár tosaíodh.