Lapisan mana dari profil L2TP yang sebenarnya rusak

Telusuri tumpukan dari atas ke bawah, bukan menyapu halaman pengaturan: Negosiasi IPsec, lalu kendali L2TP, lalu autentikasi PPP, lalu penetapan alamat dan DNS. Setiap lapisan punya tanda tangan kesalahan dan penyebab yang paling mungkin sendiri. Profil yang gagal pada autentikasi pengguna sudah melewati tiga pemeriksaan yang tidak pernah dicapai profil yang kehabisan waktu lebih awal. Urutan itulah yang pertama harus dipastikan.

Nama protokol yang sama menyembunyikan empat percakapan berbeda.

Beri nama lapisannya sebelum mengubah pengaturan

Kegagalan penyiapan IPsec menunjuk ke rahasia bersama, algoritme, atau identitas lawan. Kegagalan kendali L2TP sesudahnya menyarankan lapisan terowongan itu sendiri, yang merupakan masalah lebih sempit. Kegagalan autentikasi PPP menyebut akun atau metode autentikasi. Kegagalan alamat atau DNS setelah autentikasi berarti transportasi berhasil dan pertukaran konfigurasi tidak.

Catat versi klien, versi sistem operasi, dan penyiapan terdokumentasi dari operator. Tanpa ketiganya, setiap perubahan adalah dugaan yang mungkin secara kebetulan memperbaiki hal lain.

Bandingkan profil dengan klien saat ini

Profil tersimpan bisa membawa rahasia bersama, opsi autentikasi, atau titik akhir yang tidak lagi diterima klien saat ini. Sejumlah platform telah mencabut atau menghapus dukungan L2TP/IPsec sepenuhnya, dan klien yang diperbarui bisa meninggalkan perilaku IKE lama tanpa perubahan apa pun di server. Bandingkan nilai tersimpan Anda dengan persyaratan terdokumentasi operator saat ini, bukan dengan yang berhasil setahun lalu. Selisih antara kedua dokumen itulah biasanya tempat jawabannya berada.

Rahasia yang di-cache atau akun yang diganti nama biasanya tidak memerlukan lebih dari pembaruan profil biasa, dan keduanya layak diperiksa sebelum Anda merancang ulang apa pun. Itulah perbaikan murah, dan keduanya harus disingkirkan sebelum apa pun yang bersifat arsitektural.

Opsi lama tidak kembali hanya karena diaktifkan

Mematikan validasi tidak memperbaiki masalah rantai kepercayaan, dan mengaktifkan algoritme hanya karena sebuah utas forum menyebutnya tidak membuktikan apa pun tentang apa yang diterima server. Proposal IKE yang lemah biasanya dihapus dari klien karena alasan yang baik, dan mengaktifkan kembali salah satunya menciptakan koneksi yang lebih buruk daripada yang rusak. Terowongan yang lebih lemah bukan perbaikan, itu masalah baru dengan gejala yang sama. Pertanyaan yang benar adalah apa yang kini didukung operator.

Perbaikan dengan mengaktifkan semuanya mengubah jauh lebih banyak daripada kegagalan sebenarnya dan membuat Anda tidak bisa mengatakan apa yang memperbaikinya.

Tampilkan migrasi sebagai proyek

Jika penerapan tidak lagi mendukung klien yang dibutuhkan, rencanakan penggantian bersama operator alih-alih mempertahankan pengecualian tak terdokumentasi. Bawa serta persyaratan akses, identitas, entri DNS, dan rute, karena satu jabat tangan baru saja tidak menciptakan kembali satu pun dari izin tersebut. Itulah bagian yang secara diam-diam menjadi sandaran koneksi yang berfungsi. Simpan profil lama dengan aman sampai pemulihan dikonfirmasi, lalu pensiunkan kredensial usang di tempat kredensial itu benar-benar dikelola. Membiarkannya di tempatnya adalah cara sebuah jalur lama tetap bisa dipakai jauh setelah semua orang percaya jalur itu ditutup.

Migrasi juga saatnya menuliskan untuk apa profil itu. Jika tidak, orang berikutnya mewarisi koneksi yang berfungsi tanpa penjelasan apa pun.

Periksa lapisannya, versi klien, dan persyaratan operator saat ini. Lalu putuskan apakah ini perbaikan atau penggantian.