Windows પર L2TP/IPsec ભૂલ 789: પ્રોફાઇલ બનાવો અને પ્રસ્તાવ પિન કરો
ભૂલ 789 IPsec વિનિમયમાં નિષ્ફળ જાય છે, પાસવર્ડમાં નહીં. L2TP પ્રોફાઇલ સ્ક્રિપ્ટ કરો, પ્રસ્તાવ પિન કરો અને પછીના કોડ સ્ટેપ પ્રમાણે વાંચો.
Windows પર L2TP કનેક્શનમાં ભૂલ 789 નો અર્થ એ છે કે ટનલ IPsec સુરક્ષા વિનિમયની અંદર મૃત્યુ પામી છે, જે Windows ક્યાંય વપરાશકર્તાનો પાસવર્ડ મોકલે તે ઘણા પહેલાં થાય છે. પાસવર્ડ ફરી પ્રયત્ન કરવો, અથવા ડિરેક્ટરીમાં તેને રીસેટ કરવો, તે સ્ટેપને આગળ ધપાવી શકતું નથી. તેને આગળ ધપાવે છે PowerShell માંથી કનેક્શન ફરીથી બનાવવું, ગેટવે ખરેખર જે પ્રસ્તાવ આપે છે તેની સાથે, કારણ કે સેટિંગ્સ વિઝાર્ડ IPsec ટ્રાન્સફોર્મ ચૂપચાપ પસંદ કરે છે અને તમને ક્યારેય બતાવતું નથી કે તેણે શું પસંદ કર્યું. આ તેના માટેનું રનબુક છે: પ્રોફાઇલ બનાવો, પ્રસ્તાવ પિન કરો, પછી સ્ટેપ ટેબલ વાપરો જેથી આગલો કોડ તમને કંઈક કહે.
વિઝાર્ડ વગર પ્રોફાઇલ બનાવો
Add-VpnConnection મૂળ ફોન-બુક એન્ટ્રી લખે છે, તેથી પરિણામ એ જ ઑબ્જેક્ટ છે જે સેટિંગ્સ એપ પછી સંપાદિત કરે છે. જ્યારે કનેક્શન મશીનના દરેક ખાતા માટે હોવું જોઈએ ત્યારે તેને ઉન્નત સેશનમાંથી ચલાવો, અથવા જ્યારે તે ખાનગી રહેવું જોઈએ ત્યારે વપરાશકર્તા સંદર્ભમાંથી:
Add-VpnConnection -Name "Contoso L2TP" `
-ServerAddress 203.0.113.10 `
-TunnelType L2tp `
-EncryptionLevel Required `
-AuthenticationMethod MSChapv2 `
-RememberCredential -Force-AuthenticationMethod ને ગેટવે જે આપે છે તેની સાથે મેળવો. MSChapv2, EAP અને PAP એકબીજાના બદલે વપરાઈ શકતા નથી, અને જે પ્રોફાઇલ એવી પદ્ધતિ માંગે છે જે સર્વર સ્વીકારશે નહીં તે કોઈપણ વપરાશકર્તા રેકોર્ડ તપાસ્યા પહેલાં જ નિષ્ફળ જાય છે. કોઈપણ વાસ્તવિક વસ્તુ માટે -EncryptionLevel Required રાખો; Optional Windows ને એન્ક્રિપ્શન વગરની ટનલ સ્વીકારવા દે છે જો સામેનો પક્ષ એક આપે, જે લેબ શોર્ટકટ છે અને મોકલવાની સેટિંગ નથી.
જો તમે -L2tpPsk પાસ કરો છો, તો તે પૂર્વ-શેર કરેલી કી ડિસ્ક પરની પ્રોફાઇલમાં લખાય છે, જ્યાંથી તે મશીન પર પ્રોફાઇલ વાંચી શકે તેવો કોઈપણ તેને પુનઃપ્રાપ્ત કરી શકે છે. જ્યારે ગેટવે ટેકો આપે ત્યારે પીઅર પ્રમાણીકરણ માટે પ્રમાણપત્ર વાપરો, અને જ્યારે PSK અનિવાર્ય હોય ત્યારે તેને દરેક પ્રોવિઝનિંગ રનમાં પેસ્ટ કરવાને બદલે રિપોઝિટરી અને શેલ ઇતિહાસની બહાર રાખો.
ડિફૉલ્ટ સ્વીકારવાને બદલે પ્રસ્તાવ પિન કરો
Windows પોતે IPsec ટ્રાન્સફોર્મ ભરે છે, તેથી જ સમાન દેખાતા કનેક્શનવાળા બે મશીન એક જ ગેટવે સામે અલગ રીતે નિષ્ફળ જઈ શકે છે. Set-VpnConnectionIPsecConfiguration તેમને પિન કરવાની સમર્થિત રીત છે:
Set-VpnConnectionIPsecConfiguration -ConnectionName "Contoso L2TP" `
-AuthenticationTransformConstants SHA256128 `
-CipherTransformConstants AES128 `
-EncryptionMethod AES128 `
-IntegrityCheckMethod SHA256 `
-DHGroup Group14 `
-PfsGroup None `
-PassThru -Forceતે સેટ એક સામાન્ય L2TP/IPsec ગોઠવણી છે, સાર્વત્રિક જવાબ નથી. દરેક પરિમાણ મૂલ્યોની નિશ્ચિત યાદી સ્વીકારે છે, અને પ્લેટફોર્મ જે સંયોજનને મેપ કરી શકતું નથી તે ચૂપચાપ નબળી પ્રોફાઇલને બદલે cmdlet ભૂલ તરીકે પાછું આવે છે. આવી ભૂલને મૂલ્યો વિશેનું નિવેદન ગણો, તમારી પરવાનગીઓ વિશે નહીં.
ગેટવેના દસ્તાવેજીકરણમાંથી અથવા તેની જીવંત ફેઝ-1 અને ફેઝ-2 સેટિંગ્સમાંથી પ્રસ્તાવ કૉપિ કરો, અને એક સમયે એક જ ફીલ્ડ બદલો, ફક્ત ત્યારે જ જ્યારે ગેટવે તેની નકારેલી ટ્રાન્સફોર્મનું લોગ કરી રહ્યું હોય. પાંચ ફીલ્ડમાં ફરવાથી આકસ્મિક રીતે કામ કરતું કનેક્શન અને આગલી વ્યક્તિને કંઈપણ ન સમજાવતો રેકોર્ડ બને છે.
નિષ્ફળતા સ્ટેપ પ્રમાણે વાંચો, ભૂલના લખાણ પ્રમાણે નહીં
789 ક્લાયન્ટ ડાયલોગમાં જે કોડો સરખા દેખાય છે તેવા પરિવારનો છે. પ્રોફાઇલને ફરી અડો તે પહેલાં કોડને તે જે સ્ટેપનો છે તેની સામે મૂકો:
| What you see | Stage that failed | Check first |
|---|---|---|
| Nothing happens, then a timeout | No IKE response at all | Server address, UDP 500 and 4500 reachability, NAT traversal on the gateway |
| Error 789 | IKE security exchange | Proposal, pre-shared key, certificate trust and client clock |
| Error 691 or a repeated password prompt | User authentication | Account state, domain, RADIUS or NPS policy |
| Tunnel up, some hosts unreachable | Routing or DNS after PPP | Split-tunnel routes, pushed DNS, remote subnet mask |
અહીં બે ક્રેડેન્શિયલ ભૂમિકાઓ મહત્ત્વની છે. પૂર્વ-શેર કરેલી કી અથવા પ્રમાણપત્ર પીઅરને એકબીજા સામે પ્રમાણિત કરે છે, જ્યારે MSChapv2 અથવા EAP ટનલની અંદર તમને પ્રમાણિત કરે છે. વપરાશકર્તાનો પાસવર્ડ રીસેટ કરવાથી પહેલું સુધરી શકતું નથી, નવું શેર કરેલું રહસ્ય બીજું સુધારી શકતું નથી, અને બંને એકસાથે બદલવાથી કયું ખોટું હતું તેનો પુરાવો નષ્ટ થાય છે.
પ્રમાણપત્રના માર્ગ પર, માન્યતા ઢીલી કરવાનું વિચારો તે પહેલાં ક્લાયન્ટની ઘડિયાળ, ટ્રસ્ટ ચેઇન અને ગેટવે જે ઓળખની અપેક્ષા રાખે છે તે તપાસો. માન્યતા બંધ કરવાથી દૃશ્યમાન 789 ખોટા પીઅર પર ભરોસો કરતી વખતે જોડાતી ટનલમાં ફેરવાય છે, અને ક્લાયન્ટમાં કંઈ તમને કહેશે નહીં કે એવું થયું છે. Microsoft ની રિમોટ એક્સેસ ભૂલોની યાદી પોતે કોડો માટેનો સંદર્ભ છે, અને તે સુરક્ષા સ્તરની નિષ્ફળતાઓને લૉગિન નિષ્ફળતાઓથી અલગ પાડે છે.
સુધરી ગયું કહેતા પહેલાં બંને છેડેથી ચકાસો
પ્રોફાઇલ પાછી વાંચો, પણ આઉટપુટમાં પ્રસ્તાવની અપેક્ષા ન રાખો. Get-VpnConnection નામ, સર્વર સરનામું, ટનલ પ્રકાર, એન્ક્રિપ્શન સ્તર અને પ્રમાણીકરણ પદ્ધતિ જણાવે છે, અને ટ્રાન્સફોર્મ વિશે કંઈ જાણતું નથી, તેથી વાંચન પુષ્ટિ કરે છે કે એન્ટ્રી અસ્તિત્વમાં છે અને યોગ્ય હોસ્ટ તરફ ઇશારો કરે છે:
Get-VpnConnection -Name "Contoso L2TP" |
Select-Object Name, ServerAddress, TunnelType, EncryptionLevel, AuthenticationMethodડાયલોગને બદલે નંબર મેળવવા માટે કમાન્ડ લાઇનથી ડાયલ કરો: rasdial "Contoso L2TP" ઇન્ટરફેસ જે આપે તે જ નિષ્ફળતા કોડ આપે છે, અને rasdial "Contoso L2TP" /disconnect પ્રયત્નો વચ્ચે તેને સાફ કરે છે. પછી તે જ પ્રયત્ન માટે ગેટવેની બાજુ વાંચો. strongSwan નું ipsec statusall અથવા રાઉટરનું IKE લોગ જણાવે છે કે કયો પ્રસ્તાવ આવ્યો અને કયો નકારાયો, અને તેની cmdlet મૂલ્યો સાથે સરખામણી એ જ એકમાત્ર પગલું છે જે ખરેખર સાબિત કરે છે કે બંને છેડા સંમત થયા.
સફળ કનેક્શન અંતિમ રેખા નથી. વપરાશકર્તાને જે એપ મહત્ત્વની છે તે ખોલો, કારણ કે રૂટ, દબાણ કરેલ DNS અને સ્પ્લિટ-ટનલ સેટિંગ્સ ટનલ ઉપર આવ્યા પછી નિષ્ફળ જાય છે અને બિલકુલ ભૂલ ડાયલોગ આપતા નથી.
તેને ઑટોમેટ કરો, અને સ્વચ્છ રીતે પાછા વળો
અનઅટેન્ડેડ સેટઅપ એ આને સ્ક્રિપ્ટ કરવાનું કારણ છે, અને ડાયલ સ્ટેપ એ છે જ્યાં ક્રેડેન્શિયલ લીક થાય છે. rasdial તેમને પોતાની કમાન્ડ લાઇન પર લે છે, જ્યાં અન્ય સ્થાનિક વપરાશકર્તાઓ અને મોટાભાગના લોગ સંગ્રાહકો તેમને વાંચી શકે છે:
subprocess.run(["rasdial", "Contoso L2TP"], check=True)જોબ ચલાવતા ખાતા પૂરતા મર્યાદિત ક્રેડેન્શિયલને પ્રાધાન્ય આપો, અથવા પ્રોફાઇલને -RememberCredential વડે તેને સંગ્રહવા દો, શેડ્યુલ કરેલા કાર્યમાં પાસવર્ડને આર્ગ્યુમેન્ટ તરીકે પસાર કરવાને બદલે. પ્રોવિઝનિંગ કમાન્ડ પોતે -Force સાથે પુનરાવર્તન કરવા સુરક્ષિત છે, પરંતુ તે જૂનો પ્રસ્તાવ ખુશીથી ઉપર લખી દેશે, તેથી ફરી ચલાવવાથી ફક્ત ત્યારે જ ફાયદો થાય છે જ્યારે સ્ક્રિપ્ટ વર્તમાન મૂલ્યો ધરાવે.
પ્રોફાઇલ રીબૂટ દરમિયાન ટકે છે અને જે ગેટવે રૂપરેખાંકન માટે બનાવાઈ હતી તેના કરતાં વધુ જીવે છે. જ્યારે ગેટવેનો પ્રસ્તાવ ખસે છે, ત્યારે બીજો મૂલ્ય-સેટ ઉપર ચઢાવવાને બદલે એન્ટ્રી દૂર કરો અને ફરી બનાવો: Remove-VpnConnection -Name "Contoso L2TP" -Force, પછી નવા સેટ સાથે બે cmdlet પુનરાવર્તિત કરો.
સ્ક્રિપ્ટની બાજુમાં રહેતી ચાર ચકાસણીઓ સાથે લૂપ બંધ કરો: Get-VpnConnection અપેક્ષિત ટનલ પ્રકાર અને એન્ક્રિપ્શન સ્તર દર્શાવે છે; ગેટવે તમારા ક્લાયન્ટ સરનામા માટે પૂર્ણ થયેલ ફેઝ 1 અને ફેઝ 2 લોગ કરે છે; rasdial સફળતા આપે છે અને એપ ખૂલે છે; અને સ્ક્રિપ્ટમાં નોંધાયેલ પ્રસ્તાવ વર્તમાન ગેટવે સેટિંગ સાથે મેળ ખાય છે. જ્યારે આગલી 789 આવે છે, ત્યારે તે સરખામણી બપોરને બદલે મિનિટો લે છે.