Cén chéim VPN a theip: IPsec, rialú L2TP nó fíordheimhniú PPP
Aimsigh an chéim dheireanach ar éirigh léi, ansin deisigh an tslí sin amháin: IPsec, an cainéal rialaithe L2TP, fíordheimhniú PPP nó leithdháileadh seoltaí.
D’athraigh tú an focal faire agus níor bhog aon rud, mar ní raibh an locht riamh i PPP. Tuairiscíonn L2TP/IPsec earráid nasc amháin ar son cúig aistriúchán atá an-difriúil óna chéile, agus tá a dheisiú féin ag gach aistriúchán. Oibrigh ar gcúl: aimsigh an chéim dheireanach ar éirigh léi agus ná hathraigh ach an rud a thagann ina diaidh. Cinneann an t-ord thíos freisin cén fhianaise a bhailíonn tú ar dtús.
Freagair ceithre cheist in ord
Cuir iallach ar iarracht úr, mar leanann roinnt cliant ag taispeáint na hearráide roimhe go ndícheanglaítear agus go n-athnascann an próifíl. Ansin freagair seo: an raibh comhlachas slándála IPsec ann, ar tháinig nasc rialaithe L2TP agus glao chun solais, ar shroich PPP breithiúnas fíordheimhniúcháin, agus ar thug IPCP seoladh don chliant? Is é an chéad níl an chéim a dheisíonn tú. Tá gach rud ina dhiaidh gan triail, mar sin ní chruthaíonn ainm úsáideora diúltaithe aon rud nuair nár tharla comhlachas riamh.
Sioncronaigh na cloig ar an dá fhoirceann sula gcuirfidh tú i gcomparáid. Breathnaíonn iarracht a ghlan IPsec agus a theip ag PPP amhail teip amháin nuair nach dtaispeánann an cliant ach an teachtaireacht dheireanach agus go gcoimeádann loga an fhreastalaí an iarracht roimhe fós. Léigh de réir stampa ama, ní de réir na líne is airde glór.
Nuair nach bhfuil agat ach seat scáileáin an úsáideora, bíodh muinín agat as an scoilteadh is saoire: tá eochair réamhroinnte mhícheart agus xl2tpd nach freagraíonn riamh ag táirgeadh an téacs chéanna sa dialóg Windows, ach teastaíonn rún athraithe ar an dá fhoirceann ó cheann acu agus deamhan tosaithe nó riail balla dóiteáin ar an bhfreastalaí féin ón gceann eile. Ní féidir le feiste sa lár an 1701 istigh a ligean thar ceal tar éis do IPsec i mód iompair é a chumhdach, mar sin ná bí ag lorg scagaire cosáin nach bhfuil ann.
Cad a shealbhaíonn gach tslí i ndáiríre
Cosnaíonn IPsec paicéid idir an dá phiara; iompraíonn L2TP seisiún PPP laistigh den chosán cosanta sin, agus is é sin an fáth a sonraíonn RFC 3193 mód iompair seachas tollán dá chuid féin. Deir lipéad an chliaint L2TP, mar sin mothaítear an tollán agus an logáil isteach amhail meicníocht amháin. Ní hea: fíordheimhníonn nasc rialaithe L2TP deireadhphointí an tolláin san áit a gcumasaíonn imscaradh é, agus fíordheimhníonn PPP an t-úsáideoir ar leithligh le CHAP, PAP nó MS-CHAPv2 faoi bheartas an fhreastalaí.
Míníonn an scoilteadh sin an dá rún a mhearbhallaíonn daoine. Fíordheimhníonn eochair réamhroinnte na piaraí IPsec. Aithníonn ainm úsáideora agus focal faire an t-úsáideoir do PPP. Ní athraíonn clóscríobh rún comhroinnte Windows arís ar phróifíl a fhíordheimhníonn le teastais aon rud ag an gcéim a theipeann, agus ní féidir le hathrú ar fhocal faire PPP cainéal cosanta atá ar iarraidh a sholáthar. Baineann an mheasarthacht chéanna leis an seiceáil aitheantais: ná cuir aithne an phiara ná bailíochtú an teastais as feidhm chun tollán a fháil, mar is é an cosán a nascann ansin, ní an piara.
Ní hé an fíordheimhniú deireadh PPP ach an oiread. Nuair a ghlactar leis an úsáideoir, caithfidh IPCP an seoladh cliaint agus na roghanna DNS agus WINS a bhfuil an freastalaí sásta iad a thabhairt a chaibidil. Féadfaidh cliant CHAP nó MS-CHAPv2 a rith agus fós gan seoladh a bheith aige, agus is teip laistigh de PPP é sin seachas fadhb ródaithe. Fanann L2TP lom gan IPsec bailí agus gan chosaint, mar sin ní chruthaíonn nasc rathúil riamh go bhfuil an trácht cosanta; seiceáil cad a éilíonn an freastalaí, ní lipéad an chliaint.
Cinntigh ón gcéad chéim atá ar iarraidh
Léigh an tábla de réir an chéad mhíre atá ar iarraidh, ó chlé go deas. Is é an colún ar dheis an t-aon obair ar fiú í ag an bpointe sin; tá gach rud ar a chlé cruthaithe cheana, agus dónn aththástáil an fhuinneog shosaoide gan faisnéis a chur leis.
| First thing missing | What it means | Change this |
|---|---|---|
| No IKE reply on 500 or 4500 | The path or the listener never answered | Firewall, NAT-T forwarding, server listener |
| IKE runs, no IPsec association | Identity, key, or proposal mismatch | Proposal and PFS set, pre-shared key, local and remote ID |
| Association up, no L2TP control connection | Inner signalling never reached xl2tpd | UDP 1701, tunnel and session sections, NAT encapsulation |
| Control connection up, PPP auth refused | The user or method was rejected | Credential format, allowed auth method, account policy |
| PPP auth accepted, no address assigned | IPCP never completed | Address pool in xl2tpd.conf, ms-dns and ms-wins in options.xl2tpd |
| Address assigned, applications fail | The inner path is wrong | Routes, DNS, MTU or MSS, server forwarding |
Tá trí shraith tuillte ag rabhadh. Is í sraith 1701 an áit a dtéann cliaint Windows taobh thiar de NAT i dtír de ghnáth: críochnaítear an comhlachas, ansin ní thagann aon rud, agus is é an t-ionsaothrú an chúis seachas focal faire olc. Is í sraith IPCP an ceann a léitear go mícheart mar fhadhb ródaithe, mar fhillfidh Windows an seoladh atá ar iarraidh in earráid 720 agus ní deir deilbhín an tráidire ach gur theip an nasc; suíonn an teip sin tar éis fíordheimhniúcháin agus roimh ródú. Ní teip IPsec ar chor ar bith í an tsraith dheireanach, cé go ndeir an deilbhín go bhfuil sé dícheangailte.
Orduithe a scarann na slití
Ar fhreastalaí Linux a ritheann strongSwan, liostaíonn swanctl --list-sas comhlachais bunaithe lena n-aitheantas piara, agus clúdaíonn ipsec statusall hóstaigh strongSwan agus libreswan níos sine. Faoi bhun, taispeánann ip xfrm state comhlachais iarbhír an eithne, agus cruthaíonn ss -lunp | grep 1701 cá bhfuil xl2tpd ceangailte. Rith xl2tpd -D sa réim chun tosaigh chun naisc rialaithe agus glaonna a fheiceáil ag teacht chun solais, agus cuir dífhabhtú pppd ar siúl in /etc/ppp/options.xl2tpd chun an modh a thairgtear agus an freagra a fheiceáil.
Nuair a thaispeánann na logaí fíordheimhniú rathúil, is í an chéad cheist eile an críochnaíodh IPCP. Seiceáil go bhfuil seoltaí saora fós ag ip range i roinn [lns default] de /etc/xl2tpd/xl2tpd.conf, agus go n-iompraíonn /etc/ppp/options.xl2tpd ms-dns agus ms-wins i ndáiríre má bhíonn an cliant ag súil leo. Breathnaíonn linn ídithe agus rogha DNS atá ar iarraidh go difriúil ar an sreang: fágann an chéad cheann an cliant gan seoladh agus le 720, tugann an dara ceann seoladh ach gan aon réiteoir, mar sin teipeann ar ainmneacha agus oibríonn ping chuig seoltaí amha. Ní dheisítear ceachtar acu trí an focal faire a iontráil arís.
Ar an gcliant scríobhann breiseán L2TP NetworkManager comhrá pppd isteach sa dialann, mar sin scarann journalctl -u NetworkManager -b de ghnáth tollán suas, fíordheimhniú diúltaithe ó gan tollán ar chor ar bith. Ar Windows tuairiscíonn Get-VpnConnection fíorfheasachtaí fíordheimhnithe an phróifíl, agus ainmníonn imeachtaí RasClient faoi Application in Event Viewer an chomhpháirt a theipeann. Nuair a bhíonn an dialóg ródhoiléir, cumasaigh netsh ras set tracing * enable.
Teastaíonn aon réamhchúram amháin ó ghabhálacha. Le IPsec i mód iompair tá an UDP 1701 istigh criptithe, mar sin taispeánann gabháil ar an gcomhéadan amuigh ESP, nó UDP 4500 faoi NAT-T, agus aon L2TP ar bith. Tá 1701 ar iarraidh i ngabháil ag súil agus ní cruthú é ar phort bacaithe; breathnaigh an mbogann na cuntair ESP nó 4500.
NAT, MTU agus róid: san áit a gcuireann an chruach chun aimhleasa tú
Briseann NAT toimhde sula bhfíordheimhnítear aon rud. Is prótacal IP dá chuid féin é ESP, mar sin caitheann feiste a aistríonn é mura n-ionsaothraíonn na piaraí; is é sin a sholáthraíonn UDP 4500. Ar fhreastalaí Windows atá é féin taobh thiar de ródaire baile nó de gheata NAT scamallach, teipeann céim IPsec le hearráid 789 go ndéantar AssumeUDPEncapsulationContextOnSendRule a shocrú go 2 faoi eochair PolicyAgent agus an meaisín a atosú, agus fanann an teip doscartha ó phort dúnta. Tá cliaint taobh thiar de NAT níos éasca: le seoladh poiblí ar an bhfreastalaí, iompraíonn NAT-T ar UDP 4500 iad agus níl an luach sin i gceist.
Nuair a bhíonn PPP suas, déanann MTU le poll dubh aithris ar thollán marbh: téann paicéid bheaga thar, crochann croitheadh láimhe TLS nó luchtú leathanaigh, agus féadfaidh an cliant a bheith fós ag taispeáint ceangailte. Ísligh MTU an chomhéadain nó clampaigh MSS ag an ngeata sula gcuireann tú an milleán ar an bhfreastalaí. Is é ródú tolláin scoilte an dara himpire; fágann folíon a bhrúitear le mascar mícheart an tollán sláintiúil agus feidhmchlár amháin do-rochtana. Cuireann óstainm príobháideach a chéim féin leis: má fhágann an cheist tríd an réiteoir áitiúil, teipeann ar an ainm réiteach sula dtástáiltear aon ród.
Seicliosta sula dtéann tú i dteagmháil le dintiúir
Oibrigh an liosta in ord agus stop ag an gcéad mhír a theipeann. Tá gach céim saor, agus eisíonn gach ceann aicme iomlán athruithe.
- Deimhnigh go bhfuil an comhlachas ann ar an dá fhoirceann, meaitseáilte de réir aitheantas piara seachas lipéad ceangailte.
- Deimhnigh go sroicheann UDP 1701 xl2tpd; is é comhlachas gan ghlao do theip.
- Léigh breithiúnas PPP, agus má fhíordheimhnigh sé, toradh IPCP, sula ngabhann tú leis go bhfuil an focal faire mícheart.
- Anois amháin athiontráil dintiúir san fhormáid a bhfuil an freastalaí ag súil léi, mar athraíonn réimír fearainn an cuntas.
- Má theipeann fós, gabh an dá fhoirceann le stampaí ama ailínithe agus cuir i gcomparáid céim ar chéim.
Ciallaíonn stopadh ag céim a dó fadhb chosáin nó ionsaothraithe, agus ní bhogfaidh aon athrú ar an bhfocal faire í. Ciallaíonn stopadh ag céim a trí go n-ainmníonn an loga cheana an modh nó an linn seoladh atá le deisiú. Cibé scéal é, is athrú é an chéad athrú eile ar féidir leat é a chosaint, agus stopann tú ag rothaíocht trí shocruithe nár bhain leis riamh.