L2TP/IPsec villa 789 í Windows: búðu til sniðið og festu tillöguna

Villa 789 á L2TP-tengingu í Windows þýðir að göngin dóu inni í IPsec-öryggisskiptunum, sem gerist löngu áður en Windows sendir notendalykilorð nokkurs staðar. Að reyna lykilorðið aftur, eða endurstilla það í skránni, getur ekki fært það stig áfram. Það sem færir það áfram er að endurbyggja tenginguna frá PowerShell með þeirri tillögu sem gáttin býður í raun, því leiðarvísirinn í Stillingum velur IPsec-ummyndanir hljóðlega og sýnir þér aldrei hvað hann valdi. Þetta er handbókin fyrir það: búðu til sniðið, festu tillöguna og notaðu síðan stigatöflu svo næsti kóði segi þér eitthvað.

Búðu til sniðið án leiðarvísisins

Add-VpnConnection skrifar innfædda færslu í símaskrá, þannig að niðurstaðan er sami hlutur og Stillingar forritið breytir síðar. Keyrðu það úr hækkaðri lotu þegar tengingin á að vera til fyrir hvern reikning á vélinni, eða úr samhengi notandans þegar hún á að vera einkaleg:

Add-VpnConnection -Name "Contoso L2TP" `
  -ServerAddress 203.0.113.10 `
  -TunnelType L2tp `
  -EncryptionLevel Required `
  -AuthenticationMethod MSChapv2 `
  -RememberCredential -Force

Láttu -AuthenticationMethod passa við það sem gáttin býður. MSChapv2, EAP og PAP eru ekki skiptanleg, og snið sem krefst aðferðar sem þjónninn tekur ekki við mistekst áður en nokkur notendafærsla er skoðuð. Hafðu -EncryptionLevel Required fyrir allt raunverulegt; Optional leyfir Windows að taka við ódulkóðuðum göngum ef mótaðilinn býður slíkt, sem er tilraunastofu-stytting en ekki stilling til að senda frá sér.

Ef þú sendir -L2tpPsk er það fyrirfram deilda lykill skrifaður í sniðið á disknum, þaðan sem hver sem getur lesið sniðið á þeirri vél getur endurheimt hann. Notaðu skírteini fyrir auðkenningu mótaðilans þegar gáttin styður það, og þegar PSK er óhjákvæmilegt skaltu halda því utan geymslunnar og utan skeljarferilsins í stað þess að líma það í hverja úthlutunarkeyrslu.

Festu tillöguna í stað þess að samþykkja sjálfgefin gildi

Windows fyllir IPsec-ummyndanirnar sjálft, og þess vegna geta tvær vélar með að því er virðist eins tengingu mistekist á mismunandi hátt gagnvart sömu gátt. Set-VpnConnectionIPsecConfiguration er studda leiðin til að festa þær:

Set-VpnConnectionIPsecConfiguration -ConnectionName "Contoso L2TP" `
  -AuthenticationTransformConstants SHA256128 `
  -CipherTransformConstants AES128 `
  -EncryptionMethod AES128 `
  -IntegrityCheckMethod SHA256 `
  -DHGroup Group14 `
  -PfsGroup None `
  -PassThru -Force

Þetta sett er ein algeng L2TP/IPsec uppsetning, ekki alhliða svar. Hver færibreyta tekur við föstum lista gilda, og samsetning sem pallurinn getur ekki varpað kemur aftur sem cmdlet-villa í stað hljóðlega veikts sniðs. Meðhöndlaðu slíka villu sem fullyrðingu um gildin, ekki um heimildir þínar.

Afritaðu tillöguna úr skjölum gáttarinnar eða úr lifandi stillingum hennar fyrir stig 1 og stig 2, og breyttu aðeins einu sviði í einu og aðeins á meðan gáttin skráir ummyndanirnar sem hún hafnar. Að fara í gegnum fimm svið framleiðir tengingu sem virkar fyrir tilviljun og færslu sem útskýrir ekkert fyrir næsta manni.

Lestu mistök eftir stigi, ekki eftir villutextanum

789 tilheyrir fjölskyldu kóða sem allir líta eins út í glugga biðlarans. Settu kóðann við það stig sem hann tilheyrir áður en þú snertir sniðið aftur:

Tvö hlutverk auðkennanna skipta máli hér. Fyrirfram deildur lykill eða skírteini auðkennir mótaðilana hvorn fyrir öðrum, en MSChapv2 eða EAP auðkennir þig inni í göngunum. Endurstilling notendalykilorðs getur ekki lagað það fyrra, ný sameiginleg leyndarmál geta ekki lagað það síðara, og að breyta báðum í einu eyðileggur sönnunina um hvor var rangt.

Á skírteinisleiðinni skaltu athuga klukku biðlarans, traustkeðjuna og þá auðkenningu sem gáttin á von áður en þú íhugar að slaka á sannprófun. Að slökkva á sannprófun breytir sýnilegri 789 í göng sem tengjast á meðan þau treysta röngum mótaðila, og ekkert í biðlaranum mun segja þér að það hafi gerst. listi Microsoft yfir villur við fjartengingu er viðmiðið fyrir kóðana sjálfa, og hann aðgreinir mistök öryggislagsins frá innskráningarmistökum.

Sannprófaðu frá báðum endum áður en þú kallar það lagað

Lestu sniðið til baka, en búðu ekki við tillögunni í úttakinu. Get-VpnConnection tilkynnir nafnið, vistfangsþjónsins, gerð ganganna, dulkóðunarstigið og auðkenningaraðferðina, og veit ekkert um ummyndanir, þannig að lesturinn staðfestir að færslan er til og vísar á rétta hýsilinn:

Get-VpnConnection -Name "Contoso L2TP" |
  Select-Object Name, ServerAddress, TunnelType, EncryptionLevel, AuthenticationMethod

Hringdu frá skipanalínunni svo þú fáir tölu í stað glugga: rasdial "Contoso L2TP" skilar sama mistakaskóða og viðmótið myndi skila, og rasdial "Contoso L2TP" /disconnect hreinsar hann milli tilrauna. Lestu síðan hlið gáttarinnar fyrir sömu tilraun. ipsec statusall strongSwan eða IKE-loggur beinisins segir hvaða tillaga kom og hverri var hafnað, og að bera það saman við cmdlet-gildin er eina skrefið sem sannar í raun að endarnir tveir urðu sammála.

Árangursrík tenging er ekki marklínan. Opnaðu forritið sem notandanum er annt um, því leiðir, ýtt DNS og stillingar fyrir klofin göng mistekst eftir að göngin eru komin upp og gefa alls enga villuglugga.

Sjálfvirkjaðu það, og rúllaðu til baka hreint

Ómannuð uppsetning er ástæðan fyrir að skrifa skriptu fyrir þetta, og hringingarþrepið er þar sem auðkennin leka. rasdial tekur þau á skipanalínu sinni, þar sem aðrir staðbundnir notendur og flestir loggsafnarar geta lesið þau:

subprocess.run(["rasdial", "Contoso L2TP"], check=True)

Veldu auðkenni sem er takmarkað við reikninginn sem keyrir verkið, eða leyfðu sniðinu að geyma það með -RememberCredential, frekar en að senda lykilorð sem rök í tímasetta verkefni. Úthlutunarskipanirnar sjálfar eru öruggar að endurtaka með -Force, en þær munu fúslega hylja gamla tillögu, svo endurkeyrsla hjálpar aðeins ef skriftan ber núgildandi gildin.

Snið vara yfir endurræsingar og lifa lengur en gáttarstillingin sem þau voru byggð fyrir. Þegar tillaga gáttarinnar færist skaltu fjarlægja færsluna og búa hana til aftur í stað þess að leggja annað gildasett ofan á: Remove-VpnConnection -Name "Contoso L2TP" -Force, og endurtaktu síðan cmdlet-skipanirnar tvær með nýja settinu.

Lokaðu lykkjunni með fjórum athugunum sem lifa við hlið skriftunnar: Get-VpnConnection sýnir vænta gerð ganga og dulkóðunarstig; gáttin skráir lokið stig 1 og stig 2 fyrir vistfang biðlarans; rasdial skilar árangri og forritið opnast; og tillagan sem skráð er í skriftunni passar við núverandi stillingu gáttarinnar. Þegar næsta 789 kemur tekur samanburðurinn mínútur í stað síðdegis.