Неге PPTP мен L2TP/IPsec пайдаланушы атын сұрамай тұрып тоқтайды?
Пайдаланушы атын сұрау жоқ болса, PPP ешқашан басталмаған, сондықтан ақау тасымалдауда, кілт алмасуда немесе туннель құруда. Қайта орнатудан бұрын кезеңдердің ретін тексеріңіз.
Пайдаланушы атын сұраудың жоқтығы — диагностикалық сый: PPP әлі басталмаған, сондықтан тіркелгі, құпия сөз және домен саясаты әлі сұралмаған. PPTP немесе L2TP/IPsec қосылымында клиент тіркелгі деректерін туннель бар болып, сервер PPP сессиясын бастағаннан кейін ғана сұрайды. Сол сәтке дейін сәтсіздікке ұшырауы мүмкін нәрсенің бәрі — тасымалдау, кілт алмасу немесе туннель құру, бұл «VPN бұзылған» дегеннен әлдеқайда кіші аймақ.
Жоқ сұрау ақауды үш кезеңге тарылтады
Көзге көрінетін соңғы сәтті кезеңді жазып алыңыз, өйткені әрқайсысының иесі де, шешімі де бөлек. Екі кезең бұрын тұрып қалғанда тіркелгі параметрлерін болжау — бір түстен кейінгі уақыттың жоғалу жолы.
| Stage | What has to work | How a failure looks |
|---|---|---|
| Reach | UDP 500, 4500 and 1701 — or TCP 1723 plus GRE — through every firewall and NAT device | Client hangs, then reports no response |
| Key exchange | Preshared key or certificate, phase 1 and phase 2 proposals | Fast error, or a stall after the client says it is verifying |
| Tunnel | L2TP or PPTP control channel, then PPP starts | Connects, then closes with no prompt |
| User auth | PPP credentials and an address pool with room | Prompt appears, then a rejection |
Сұраусыз уақыты біткен клиент ешқашан IPsec бірлестігін алмаған, сондықтан ақау IKE-де немесе пакеттеріңіз шлюзге жету-жетпеуінде. Тіркелгі деректерін тексеремін деп хабарлап, сосын құлаған клиент хабарлама меңзегеннен әрірек кеткен. Сұраудан кейін бас тарту келсе, бұл PPP аутентификациясы және оның орны осы емес, тіркелгі туралы мақала.
Бірінші кезең: желілік экран үнсіз тастайтын протокол
PPTP басқару арнасы үшін TCP 1723, деректер жолы үшін IP протоколы 47 қажет, және екеуі бөлек жүреді. Көптеген желілер 1723-ті өткізіп, 47 протоколын тастайды, нәтижесінде келіссөз жүргізіп, сосын ештеңе тасымайтын туннель қалыптасады. NAT жасайтын маршрутизаторға GRE қолдайтын өткізу де қажет, ал тек IPv6 арқылы қатынау жолы PPTP-ні ешбір конфигурацияда тасымай алмайды.
IPsec үстіндегі L2TP IKE үшін 500 портын, NAT-тан өту үшін 4500 портын жұмсайды, сосын L2TP трафигінің өзін 1701-ге орап, бірлестік пайда болған соң ESP қорғалған жүкті тасиды. Екі басқару портына рұқсат беріп, ESP-ге бермесеңіз, дәл тақырыптағы белгіні аласыз: көрінетін ілгерілеу, сосын тіркелгі деректерінің кез келген диалогына дейін өлі клиент. Телефон хотспотынан сынау — клиент мәселесін жол мәселесінен ажыратудың арзан жолы.
Екінші кезең: кілт емес кілт, ұсынылмаған ұсыныс
Сәйкес келмейтін алдын ала ортақ кілт тез әрі үнсіз сәтсіздікке ұшырайды, ал әдеттегі нұсқа — экранда дұрыс көрінгенімен қыстырылған жол үзілімін немесе соңындағы бос орынды алып жүрген кілт. Linux клиентінде диалог міндетті түрде ақиқат көзі емес: NetworkManager-дің L2TP плагині құпияларды /etc/ipsec.d/ астындағы файлдарда ұстайды, ал /etc/ipsec.secrets әлі қосатын ескірген қосылым файлы жаңа ғана теруіңіздің орнына қолданылады. Ол файлды қауіпсіз жерге көшіріп, қосу жолынан шығарыңыз, сосын кілтті қолмен қайта теріңіз.
Бұл кезеңнің екінші жартысы — ұсыныс. Екі жақ та бірдей 1-ші фаза алгоритмдер жиынында — шифрлау, тұтастық және Diffie-Hellman тобы — және 2-ші фазаға сәйкес ESP түрлендірулерінде келісуі керек, әйтпесе бірлестік мүлде қалыптаспайды. Тек 3DES, SHA1 және MODP1024 ұсынатын шлюз неғұрлым күшті алгоритмдерге бапталған клиенттен бас тартады, ал оның журналы қабылданбаған түрлендіруді атайды. Қызметті қайта іске қосудың орнына журналды оқысаңыз, журналдың өзі сәйкессіздікті атайды. Форум тақырыбынан алгоритм жолын көшірудің орнына шлюзден ол шынымен қандай түрлендірулер туралы келісетінін сұраңыз: оның мекенжайына бағытталған ike-scan келісетін түрлендірулерді қайтарады. Егер жалғыз ұсыныс сіздің саясатыңыз бұдан былай рұқсат етпейтін криптография болса, түзету клиентті төмендетуде емес, шлюзде.
Windows-та кілт пен аутентификация әдісі VPN профилінде тұрады, ал сәйкессіздік тіркелгі деректері сұралғанға дейін, кейін емес, көрінеді. Қабылдаушы Windows Server болса, қашықтан қатынау рөлінің орнатылғанын, сертификаттың клиенттер қосылатын атауға сәйкестігін және ешбір порт сүзгісі жоғарыдағы протоколдардан тар еместігін растаңыз.
Үшінші кезең: туннель бар, ал PPP басталмайды
IKE аяқталып, сұрау бәрібір шықпаса, желілік экранды емес, туннель демонын қараңыз. L2TP-ге UDP 1701-де тыңдайтын нәрсе керек — Linux-та xl2tpd немесе kl2tpd, Windows-та қашықтан қатынау қызметі — ал орнатылған, бірақ тоқтатылған қызмет клиент жағынан тасталған пакетке дәл ұқсайды. Өзіңіз тексеріп қойған ережелерді қайта ашпас бұрын тыңдаушыны тексеріңіз. Сосын PPP келіссөз жүргізуі керек, ал бірінші LCP алмасу — үнсіз сәтсіздік әдетте қонатын жер.
Бұл кезеңдегі бір тұзақ мүлде желілік ақау емес: Windows берілген VPN түрінің бір ғана қосылымына бір уақытта рұқсат етеді, сондықтан екінші әрекет 937 қатесін қайтарады, «осы түрдегі басқа қосылым пайдаланылуда». Бұл жергілікті ереже, ал оны айналып өтудің жолы — басқа құрылғы, басқа туннель түрі немесе бұрыннан бар жалғыз қосылымды бөлісу.
Журналды болжаудың орнына кезеңдер ретімен оқыңыз
Клиентті тоқтатып, қайта іске қосыңыз да, компоненттерді олар журнал жазатын ретпен оқыңыз. Яғни алдымен IPsec демоны — strongSwan немесе Libreswan, ал ipsec --version қайсысы екенін айтады — сосын L2TP демоны, сосын pppd. Ақау алдында соңғы жазған компонент тексерілетін кезеңді белгілейді, өйткені ретпен одан кейін келетіннің бәрі мүлде іске қосылмаған.
Сақталған сессиямен емес, жаңа қосылыммен растаңыз, өйткені кэштен қайта қосылған клиент алмасудың бөліктерін өткізіп жіберіп, ескірген нәтижені қайталауы мүмкін. Қолжетімділікті, кілт алмасуды, туннельді және PPP-ні бір-бірлеп, сол ретпен растаңыз. Сонда жоқ сұрау жұмбақ болудан қалып, шынымен жұмыс істеуге болатын тізімнің екінші жолына айналады. Сол тізімді желілік топқа да бересіз, әйтпесе олардан іске қосылмаған демонда тұратын ақау үшін желілік экранды тексеруді сұрар еді.