Af hverju stöðvast PPTP og L2TP/IPsec fyrir notendanafnsspurningu?
Engin notendanafnsspurning þýðir að PPP hófst aldrei, svo gallinn liggur í flutningi, lykilaskiptum eða uppsetningu göngsins. Athugaðu röð stiganna áður en þú setur upp aftur.
Engin notendanafnsspurning er greiningargjöf: PPP er ekki byrjað enn, svo reikningurinn, lykilorðið og lénsstefnan hafa ekki verið spurin enn. Í PPTP- eða L2TP/IPsec-tengingu biðlarinn um auðkenni aðeins eftir að göngin eru til og þjónninn hefur hafið PPP-lotu. Allt sem getur mistekist fyrir þá stund er flutningur, lykilaskipti eða uppsetning göngs, sem er mun minna svæði en „VPN-ið er bilað”.
Spurning sem vantar þrengir gallann að þremur stigum
Skrifaðu niður síðasta stigið sem tókst sýnilega, því hvert þeirra hefur annan eiganda og aðra lagfæringu. Að giska á reikningsstillingar meðan þú ert fastur tveimur stigum fyrr er hvernig síðdegi hverfur.
| Stage | What has to work | How a failure looks |
|---|---|---|
| Reach | UDP 500, 4500 and 1701 — or TCP 1723 plus GRE — through every firewall and NAT device | Client hangs, then reports no response |
| Key exchange | Preshared key or certificate, phase 1 and phase 2 proposals | Fast error, or a stall after the client says it is verifying |
| Tunnel | L2TP or PPTP control channel, then PPP starts | Connects, then closes with no prompt |
| User auth | PPP credentials and an address pool with room | Prompt appears, then a rejection |
Biðlari sem rennur út án spurningar fékk aldrei IPsec-samtengingu, svo gallinn er í IKE eða í því hvort pakkarnir þínir ná yfirleitt til gáttarinnar. Sá sem tilkynnir að hann sé að sannreyna auðkenni og fellur svo náði lengra en skilaboðin benda til. Spurning sem fylgt er eftir synjun er PPP-auðkenning, og það á heima í grein um reikning, ekki þessari.
Fyrsta stig: samskiptareglurnar sem eldveggur sleppir hljóðlega
PPTP þarf TCP 1723 fyrir stjórnrásina og IP-samskiptareglur 47 fyrir gagnaleiðina, og þau tvö ferðast aðskilin. Mörg net senda 1723 áfram og sleppa samskiptareglum 47, sem gefur göng sem semja og flytja svo ekkert sem er. Beini sem gerir NAT þarf líka GRE-fært gegnumflæði, og aðgangsleið sem er aðeins IPv6 getur ekki flutt PPTP í neinni uppsetningu.
L2TP yfir IPsec eyðir porti 500 í IKE og porti 4500 í NAT-gegnumferð, pakkar svo L2TP-umferðinni sjálfri í 1701, en ESP ber hinn varða farm þegar samtengingin er til. Leyfðu stjórnportin tvö en ekki ESP, og þú færð nákvæmlega einkennið í fyrirsögninni: sýnileg framvinda, svo dauður biðlari fyrir hvaða auðkennissamtal sem er. Að prófa frá síma-tengipunkti er ódýr leið til að aðskilja biðlaravandamál frá leiðarvandamáli.
Annað stig: lykill sem er ekki lykillinn, tillaga sem er ekki boðin
Ósamsvarandi fyrirfram deildur lykill mistekst hratt og hljóðlega, og algenga útgáfan er lykill sem lítur rétt út á skjánum en ber límlínubrot eða bil í lokin. Á Linux-biðlara er samtalið ekki endilega uppspretta sannleikans: L2TP-viðbót NetworkManager geymir leyndarmál í skrám undir /etc/ipsec.d/, og eldri skrá fyrir hverja tengingu sem /etc/ipsec.secrets inniheldur enn verður notuð í staðinn fyrir þá sem þú varst að slá inn. Afritaðu þá skrá á öruggan stað, fjarlægðu hana úr innifengingarslóðinni og sláðu svo lykilinn inn aftur með höndunum.
Hinn helmingur þessa stigs er tillagan. Báðir endar verða að sammælast um sama stafasafn fasa 1 — dulkóðun, heilleika og Diffie-Hellman-hóp — og samsvarandi ESP-umbreytingar fyrir fasa 2, annars myndast samtengingin alls ekki. Gátt sem býður aðeins 3DES, SHA1 og MODP1024 mun hafna biðlara sem stilltur er fyrir sterkari reiknirit, og annálin hennar nefnir höfnðu umbreytinguna. Annálin nefnir misræmið ef þú lest hana í stað þess að endurræsa þjónustuna enn og aftur. Í stað þess að afrita reikniritastreng úr spjallþræði skaltu spyrja gáttina hvaða umbreytingar hún muni raunverulega semja um: ike-scan sem beint er að vistfangi hennar skilar þeim umbreytingum sem hún mun semja um. Ef eina tilboðið er dulritun sem stefnan þín leyfir ekki lengur, á lagfæringin heima hjá gáttinni, ekki í niðurfærslu biðlarans.
Í Windows búa lykillinn og auðkenningaraðferðin í VPN-sniðinu, og misræmi kemur fram fyrir auðkennisspurninguna frekar en eftir hana. Þar sem viðtakandinn er Windows Server, staðfestu að hlutverk fjartengs aðgangs sé uppsett, að vottorðið passi við heitið sem biðlarar tengjast og að ekkert portasía sé þrengra en samskiptareglurnar hér að ofan.
Þriðja stig: göngin eru til og PPP byrjar aldrei
Þegar IKE er lokið og spurningin birtist samt aldrei, skoðaðu göngudæmoninn frekar en eldvegginn. L2TP þarf eitthvað sem hlustar á UDP 1701 — xl2tpd eða kl2tpd á Linux, fjartengda aðgangsþjónustan í Windows — og uppsett en stöðvuð þjónusta lítur frá biðlarahlið nákvæmlega út eins og sleppt pakki. Athugaðu hlustandann áður en þú opnar aftur reglur sem þú hefur þegar staðfest. Síðan verður PPP að semja, og fyrstu LCP-skiptin eru þar sem hljóðlát mistök lenda yfirleitt.
Ein gildra á þessu stigi er alls ekki nettengingargalli: Windows leyfir aðeins eina tengingu af tiltekinni VPN-gerð í einu, svo önnur tilraun skilar villu 937, „önnur tenging af þessari gerð er í notkun”. Það er staðbundin regla, og leiðin framhjá henni er annað tæki, önnur göngutegund eða að deila einu tengingunni sem þegar er til.
Lestu annálinn í stigröð í stað þess að giska
Stöðvaðu biðlarann, ræstu hann aftur og lestu hlutana í þeirri röð sem þeir skrifa annál. Það þýðir fyrst IPsec-dæmoninn — strongSwan eða Libreswan, og ipsec --version segir þér hvor — svo L2TP-dæmoninn, svo pppd. Hver sá hluti sem skrifaði síðast fyrir mistökin markar stigið sem rannsaka á, því allt sem kemur á eftir honum í röðinni keyrði alls ekki.
Staðfestu með nýrri tengingu en ekki vistuðu lotu, því biðlari sem tengist aftur úr skyndiminni getur sleppt hlutum skiptanna og endurskapað úrelta niðurstöðu. Staðfestu aðgengi, lykilaskipti, göng og PPP eitt í einu, í þeirri röð. Þá hættir spurningin sem vantar að vera ráðgáta og verður önnur lína á lista sem þú getur raunverulega unnið þig í gegnum. Sá listi er líka það sem þú afhendir netteyminu, sem annars yrði beðið um að athuga eldvegginn vegna galla sem býr í óræstum dæmon.