איזו שכבה של פרופיל ה-L2TP נשברה בפועל

רדו במערך השכבות ולא לרוחב עמוד ההגדרות: משא ומתן IPsec, אחר כך בקרת L2TP, אחר כך אימות PPP, ולבסוף הקצאת כתובת ו-DNS. לכל שכבה חתימת שגיאה משלה וסיבה סבירה משלה. פרופיל שנכשל באימות משתמש כבר עבר שלוש בדיקות שפרופיל שפג מועדו מוקדם יותר מעולם לא הגיע אליהן. הסדר הזה הוא הדבר הראשון שצריך לקבוע.

אותו שם פרוטוקול מסתיר ארבעה דיונים שונים.

תנו שם לשכבה לפני שמשנים הגדרות

כשל בהגדרת IPsec מצביע על הסוד המשותף, על האלגוריתמים או על זהות הצד השני. כשל בבקרת L2TP לאחר מכן מרמז על שכבת המנהרה עצמה, וזו בעיה צרה יותר. כשלי אימות PPP מזהים את החשבון או את שיטת האימות. כשל בכתובת או ב-DNS לאחר האימות משמעותו שהתעבורה עבדה והחלפת התצורה לא.

תעדו את גרסת הלקוח, את גרסת מערכת ההפעלה ואת ההגדרה המתועדת של המפעיל. בלי שלושת אלה כל שינוי הוא ניחוש שעלול לתקן בטעות משהו אחר.

השוו את הפרופיל ללקוח הנוכחי

פרופיל שמור יכול לשאת סוד משותף, אפשרות אימות או נקודת קצה שהלקוח הנוכחי כבר אינו מקבל. חלק מהפלטפורמות הסירו או ביטלו לחלוטין את התמיכה ב-L2TP/IPsec, ולקוח מעודכן יכול לזנוח התנהגות IKE ישנה בלי שום שינוי בשרת. השוו את הערכים השמורים שלכם לדרישות המתועדות הנוכחיות של המפעיל, ולא למה שעבד לפני שנה. הפער בין שני המסמכים האלה הוא בדרך כלל המקום שבו נמצאת התשובה.

סוד שנשמר במטמון או חשבון ששונה שמו בדרך כלל אינם דורשים יותר מעדכון פרופיל רגיל, ושניהם ראויים לבדיקה לפני שמעצבים מחדש משהו. אלה התיקונים הזולים, ויש לשלול אותם לפני כל עבודה ארכיטקטונית.

אפשרויות ישנות לא חוזרות מעצם הפעלתן

כיבוי האימות אינו מתקן בעיה בשרשרת האמון, והפעלת אלגוריתם רק מפני ששרשור בפורום מזכיר אותו אינה מוכיחה דבר על מה שהשרת מקבל. הצעות IKE חלשות מוסרות בדרך כלל מלקוחות מסיבות טובות, והפעלה מחדש של אחת מהן יוצרת חיבור גרוע מזה שנשבר. מנהרה חלשה יותר אינה תיקון, היא בעיה חדשה עם אותו סימפטום. השאלה הנכונה היא מה המפעיל תומך בו עכשיו.

תיקון שמפעיל הכול משנה הרבה יותר מהתקלה בפועל ומשאיר אתכם בלי יכולת לומר מה תיקן אותה.

הציגו את המעבר כפרויקט

אם הפריסה אינה תומכת עוד בלקוח הנדרש, תכננו החלפה עם המפעיל במקום לשמר חריגה לא מתועדת. העבירו את דרישת הגישה, את הזהויות, את רשומות ה-DNS ואת המסלולים, כי לחיצת יד חדשה לבדה אינה משחזרת אף אחת מההרשאות האלה. אלה החלקים שחיבור עובד נשען עליהם בשקט. שמרו את הפרופיל הישן במקום בטוח עד שהשחזור יאושר, ואז הוציאו לגמלאות את פרטי ההזדהות המיושנים במקום שבו הם מנוהלים באמת. להשאיר אותם במקומם זה האופן שבו מסלול ישן נשאר שמיש הרבה אחרי שכולם מאמינים שהוא נסגר.

מעבר הוא גם הרגע לתעד לשם מה נועד הפרופיל. אחרת האדם הבא יורש חיבור עובד בלי שום הסבר.

בדקו את השכבה, את גרסת הלקוח ואת הדרישות הנוכחיות של המפעיל. אחר כך החליטו אם זה תיקון או החלפה.