Эмне үчүн PPTP жана L2TP/IPsec колдонуучу атын сураганга чейин токтоп калат?
Колдонуучу атын суроо жок болсо, PPP эч качан башталган эмес, ошондуктан кемчилик ташууда, ачкыч алмашууда же туннель курууда. Кайра орнотуудан мурун этаптардын тартибин текшериңиз.
Колдонуучу атын суроонун жоктугу диагностикалык белек: PPP али баштала элек, ошондуктан эсеп, сырсөз жана домен саясаты али сурала элек. PPTP же L2TP/IPsec байланышында клиент каттоо маалыматтарын туннель бар болуп, сервер PPP сессиясын баштагандан кийин гана сурайт. Ошол учурга чейин ийгиликсиз болушу мүмкүн болгон нерсенин баары ташуу, ачкыч алмашуу же туннель куруу, бул «VPN бузулган» дегенден алда канча кичине аймак.
Жок суроо кемчиликти үч этапка чейин тарылтат
Көзгө көрүнгөн акыркы ийгиликтүү этапты жазып алыңыз, анткени ар биринин ээси да, чечими да башка. Эки этап мурун тыгылып турганда эсеп параметрлерин болжолдоо — бир түштөн кийинки убакыттын жоголуу жолу.
| Stage | What has to work | How a failure looks |
|---|---|---|
| Reach | UDP 500, 4500 and 1701 — or TCP 1723 plus GRE — through every firewall and NAT device | Client hangs, then reports no response |
| Key exchange | Preshared key or certificate, phase 1 and phase 2 proposals | Fast error, or a stall after the client says it is verifying |
| Tunnel | L2TP or PPTP control channel, then PPP starts | Connects, then closes with no prompt |
| User auth | PPP credentials and an address pool with room | Prompt appears, then a rejection |
Суроосуз убактысы бүткөн клиент эч качан IPsec биримдигин ала элек, ошондуктан кемчилик IKEде же пакеттериңиз шлюзга жетүү-жетпейинде. Каттоо маалыматтарын текшерип жатам деп билдирип, анан кулаган клиент билдирүү кыйыткандан арыраак кеткен. Суроодон кийин баш тартуу келсе, бул PPP аутентификациясы жана анын орду ушул эмес, эсеп жөнүндөгү макала.
Биринчи этап: тармактык дубал унчукпай таштаган протокол
PPTP башкаруу каналы үчүн TCP 1723, маалымат жолу үчүн IP протоколу 47 керек, жана экөө өзүнчө жүрөт. Көптөгөн тармактар 1723тү өткөрүп, 47 протоколун таштайт, натыйжада сүйлөшүү жүргүзүп, анан эч нерсе ташыбаган туннель пайда болот. NAT кылган маршрутизаторго GRE колдогон өткөрмө да керек, ал эми IPv6 гана болгон кирүү жолу эч бир конфигурацияда PPTPни ташыбайт.
IPsec үстүндөгү L2TP IKE үчүн 500 портун, NATтан өтүү үчүн 4500 портун сарптайт, анан L2TP трафигинин өзүн 1701ге ороп, биримдик пайда болгондон кийин ESP корголгон жүктү ташылат. Эки башкаруу портуна уруксат берип, ESPге бербесеңиз, дал аталыштагы белгини аласыз: көрүнгөн илгерилөө, анан каттоо маалыматтарынын каалаган диалогуна чейин өлүк клиент. Телефон хотспотунан сыноо — клиент маселесин жол маселесинен ажыратуунун арзан жолу.
Экинчи этап: ачкыч эмес ачкыч, сунушталбаган сунуш
Дал келбеген алдын ала жалпы ачкыч тез жана унчукпай ийгиликсиз болот, ал эми кадимки түрү — экранда туура көрүнгөнү менен кыстырылган сап үзүлүшүн же аягындагы боштукту алып жүргөн ачкыч. Linux клиентинде диалог милдеттүү түрдө чындыктын булагы эмес: NetworkManagerдин L2TP плагини сырларды /etc/ipsec.d/ астындагы файлдарда сактайт, ал эми /etc/ipsec.secrets али кошкон эскирген байланыш файлы жаңы эле тергениңиздин ордуна колдонулат. Ал файлды кооптуу жерге көчүрүп, кошуу жолунан чыгарыңыз, анан ачкычты кол менен кайра терүңүз.
Бул этаптын экинчи жарымы — сунуш. Эки тарап тең бирдей 1-фаза алгоритмдер жыйындысында — шифрлоо, бүтүндүк жана Diffie-Hellman тобу — жана 2-фазага туура келген ESP трансформацияларында макулдашы керек, болбосо биримдик такыр түзүлбөйт. Бир гана 3DES, SHA1 жана MODP1024 сунуштаган шлюз күчтүүрөөк алгоритмдерге жөндөлгөн клиенттен баш тартат, жана анын журналы баш тартылган трансформацияны атайт. Кызматты кайра баштоонун ордуна журналды окусаңыз, журналдын өзү дал келбестикти атайт. Форум темасынан алгоритм сабын көчүрүүнүн ордуна шлюзден ал чынында кайсы трансформациялар боюнча сүйлөшөрүн сураңыз: анын дарегине багытталган ike-scan сүйлөшө турган трансформацияларды кайтарат. Эгер жалгыз сунуш сиздин саясатыңыз мындан ары уруксат бербеген криптография болсо, оңдоо клиентти төмөндөтүүдө эмес, шлюзде.
Windowsто ачкыч жана аутентификация ыкмасы VPN профилинде жашайт, ал эми дал келбестик каттоо маалыматтары суралганга чейин, кийин эмес, көрүнөт. Кабыл алуучу Windows Server болсо, алыскы кирүү ролу орнотулганын, сертификат клиенттер туташкан атка дал келээрин жана эч кандай порт чыпкасы жогорудагы протоколдордон тар эместигин ырастаңыз.
Үчүнчү этап: туннель бар, ал эми PPP башталбайт
IKE бүтүп, суроо баары бир чыкпаса, тармактык дубалды эмес, туннель демонун караңыз. L2TPге UDP 1701де угуучу нерсе керек — Linuxта xl2tpd же kl2tpd, Windowsто алыскы кирүү кызматы — ал эми орнотулган, бирок токтотулган кызмат клиент тараптан ташталган пакетке дал окшош. Өзүңүз текшерген эрежелерди кайра ачпастан мурун угуучуну текшериңиз. Андан кийин PPP сүйлөшүү жүргүзүшү керек, ал эми биринчи LCP алмашуу — унчукпай ийгиликсиздик адатта конгон жер.
Бул этаптагы бир капкан такыр тармактык кемчилик эмес: Windows берилген VPN түрүнүн бир гана байланышына бир убакта уруксат берет, ошондуктан экинчи аракет 937 катасын кайтарат, «ушул түрдөгү башка байланыш колдонулууда». Бул жергиликтүү эреже, ал эми андан айланып өтүүнүн жолу — башка түзмөк, башка туннель түрү же буга чейин бар болгон жалгыз байланышты бөлүшүү.
Журналды божомолдоонун ордуна этаптар тартиби менен окуңуз
Клиентти токтотуп, кайра иштетиңиз жана компоненттерди алар журнал жазган тартипте окуңуз. Башкача айтканда адегенде IPsec демону — strongSwan же Libreswan, ал эми ipsec --version кайсы экенин айтат — андан кийин L2TP демону, андан кийин pppd. Кемчиликтен мурун акыркы жазган компонент текшериле турган этапты белгилейт, анткени тартипте андан кийин келгендин баары такыр иштеген эмес.
Сакталган сессия менен эмес, жаңы байланыш менен ырастаңыз, анткени кэштен кайра туташкан клиент алмашуунун бөлүктөрүн өткөрүп жиберип, эскирген жыйынтыкты кайталашы мүмкүн. Жеткиликтүүлүктү, ачкыч алмашууну, туннелди жана PPPни бир-бирден, ошол тартипте ырастаңыз. Ошондо жок суроо табышмак болуудан калып, чындап иштесе боло турган тизменин экинчи сабына айланат. Ошол тизмени тармак тобуна да бересиз, болбосо алардан иштетилбеген демондо жашаган кемчилик үчүн тармактык дубалды текшерүүнү сурашмак.