VPNдин кайсы баскычы ишке ашкан жок: IPsec, L2TP башкаруу же PPP аутентификация
Акыркы ийгиликтүү баскычты таап, ошол катмарды гана оңдоңуз: IPsec, L2TP башкаруу каналы, PPP аутентификациясы же дарек берүү.
Сырсөздү өзгөрттүңүз, бирок эч нерсе козголбоду, анткени бузулуу эч качан PPPде болгон эмес. L2TP/IPsec беш таптакыр башка өткөрүү үчүн бир туташуу катасын билдирет жана ар бир өткөрүүнүн өз оңдоосу бар. Тескери тарапка иштеңиз: акыркы ийгиликтүү баскычты таап, андан кийин келгенди гана өзгөртүңүз. Төмөнкү тартип кайсы далилди биринчи жыйнаарыңызды да аныктайт.
Төрт суроого кезеги менен жооп бериңиз
Жаңы аракетти мажбурлаңыз, анткени айрым кардарлар профиль ажыратылып, кайра туташтырылмайынча мурунку катаны көрсөтө берет. Анан мыга жооп бериңиз: IPsec коопсуздук ассоциациясы болдубу, L2TP башкаруу туташуусу жана чакыруу пайда болдубу, PPP аутентификация чечимине жеттиби жана IPCP кардарга дарек бердиби? Биринчи жок — сиз оңдой турган баскыч. Андан кийинкинин баары текшерилген эмес, ошондуктан ассоциация эч качан болбосо, четке кагылган колдонуучу аты эч нерсени далилдебейт.
Салыштыруудан мурун эки тараптагы сааттарды синхрондоңуз. IPsecди тазалап, PPPде ишке ашпаган кайталоо, кардар акыркы билдирүүнү гана көрсөтүп, сервер журналы мурунку аракетти дагы эле сактап турганда бир бузулуудай көрүнөт. Эң катуу сап боюнча эмес, убакыт белгиси боюнча окуңуз.
Колуңузда колдонуучунун экран сүрөтү гана болсо, эң арзан бөлүштүрүүгө таяныңыз: туура эмес алдын ала бөлүшүлгөн ачкыч жана эч качан жооп бербеген xl2tpd Windows диалогунда бирдей текст чыгарат, бирок бирине эки тарапта өзгөртүлгөн сыр керек, экинчисине сервердин өзүндө иштетилген демон же firewall эрежеси керек. Ортодогу түзмөк транспорт режиминдеги IPsec аны ороп алгандан кийин ички 1701ди таштай албайт, ошондуктан жок жол чыпкасын издебеңиз.
Ар бир катмар чындыгында эмнени ээлейт
IPsec эки өнөктөштүн ортосундагы пакеттерди коргойт; L2TP ошол корголгон жолдун ичинде PPP сессиясын ташыйт, ошондуктан RFC 3193 өз туннелинин ордуна транспорт режимин белгилейт. Кардардын белгиси L2TP дейт, ошондуктан туннель жана кирүү бир механизмдей сезилет. Андай эмес: L2TP башкаруу туташуусу жайылтуу аны күйгүзгөн жерде туннелдин учтарын аутентификациялайт, ал эми PPP сервер саясатына ылайык колдонуучуну CHAP, PAP же MS-CHAPv2 аркылуу өзүнчө аутентификациялайт.
Бул бөлүштүрүү адамдар тынымсыз алмаштырган эки сырды түшүндүрөт. Алдын ала бөлүшүлгөн ачкыч IPsec өнөктөштөрүн аутентификациялайт. Колдонуучу аты жана сырсөз PPP алдында колдонуучуну таанытат. Сертификаттар менен аутентификацияланган профилде Windowsтун бөлүшүлгөн сырын кайра теруу ишке ашпаган баскычта эч нерсени өзгөртпөйт, ал эми PPP сырсөзүн оңдоо жоголгон корголгон каналды бере албайт. Ошол эле кармануу инсанды текшерүүгө да тиешелүү: туннель алуу үчүн өнөктөштүн инсандыгын же сертификатты текшерүүнү өчүрбөңүз, анткени анда жол туташат, өнөктөш эмес.
Аутентификация да PPPнин аягы эмес. Колдонуучу кабыл алынгандан кийин IPCP кардардын дареги менен сервер берүүгө даяр DNS жана WINS параметрлерин келишет. Кардар CHAP же MS-CHAPv2ден өтүп, баары бир дарексиз калышы мүмкүн, бул PPP ичиндеги бузулуу, маршруттоо маселеси эмес. IPsecсиз жөнөкөй L2TP жарактуу жана корголбогон бойдон калат, ошондуктан ийгиликтүү туташуу трафиктин корголгонун эч качан далилдебейт; сервер эмнени талап кылганын текшериңиз, кардардын белгисин эмес.
Биринчи жетишпеген баскыч боюнча чечиңиз
Таблицаны биринчи жетишпеген элемент боюнча солдон оңго окуңуз. Оң жактагы мамыча ошол учурда татыктуу жалгыз иш; анын сол жагындагынын баары далилденген, ал эми аны кайра текшерүү маалымат кошпой эле үзгүлтүк терезесин өрттөйт.
| First thing missing | What it means | Change this |
|---|---|---|
| No IKE reply on 500 or 4500 | The path or the listener never answered | Firewall, NAT-T forwarding, server listener |
| IKE runs, no IPsec association | Identity, key, or proposal mismatch | Proposal and PFS set, pre-shared key, local and remote ID |
| Association up, no L2TP control connection | Inner signalling never reached xl2tpd | UDP 1701, tunnel and session sections, NAT encapsulation |
| Control connection up, PPP auth refused | The user or method was rejected | Credential format, allowed auth method, account policy |
| PPP auth accepted, no address assigned | IPCP never completed | Address pool in xl2tpd.conf, ms-dns and ms-wins in options.xl2tpd |
| Address assigned, applications fail | The inner path is wrong | Routes, DNS, MTU or MSS, server forwarding |
Үч сап эскертүүгө татыктуу. 1701 сабы — NAT артындагы Windows кардарлары адатта түшө турган жер: ассоциация аяктайт, анан эч нерсе келбейт, ал эми себеби жаман сырсөз эмес, инкапсуляция. IPCP сабы — маршрут маселеси катары туура эмес окулган сап, анткени Windows жетишпеген даректи 720 катасына ороп, трей белгиси туташуу ишке ашпаганын гана айтат; бул бузулуу аутентификациядан кийин жана маршруттоодон мурун турат. Акыркы сап такыр IPsec бузулуусу эмес, белги ажыратылган десе да.
Катмарларды бөлүүчү буйруктар
strongSwan иштеген Linux серверинде swanctl --list-sas түзүлгөн ассоциацияларды өнөктөштүн инсандыгы менен тизмелейт, ал эми ipsec statusall эскирек strongSwan жана libreswan хостторун камтыйт. Анын астында ip xfrm state ядронун чыныгы ассоциацияларын көрсөтөт, ss -lunp | grep 1701 xl2tpd кайда байланганын далилдейт. Башкаруу туташуулары менен чакыруулардын пайда болушун көрүү үчүн xl2tpd -D буйругун алдыңкы планда иштетиңиз, ал эми сунушталган ыкма менен жоопту көрүү үчүн /etc/ppp/options.xl2tpd ичинде pppd жөндөөсүн күйгүзүңүз.
Журналдар ийгиликтүү аутентификацияны көрсөткөндөн кийин, кийинки суроо — IPCP аяктадыбы. /etc/xl2tpd/xl2tpd.conf файлынын [lns default] бөлүмүндөгү ip range буйругунда дагы бош даректер барбы жана кардар күтсө, /etc/ppp/options.xl2tpd чын эле ms-dns менен ms-wins буйругун алып жүрбү, текшериңиз. Сарпталган пул жана жетишпеген DNS параметри зымда башкача көрүнөт: биринчиси кардарды дарексиз жана 720 менен калтырат, экинчиси дарек берет, бирок чечмелөөчү бербейт, ошондуктан аттар ишке ашпайт, ал эми чийки даректерге ping иштейт. Экөө тең сырсөздү кайра киргизүү менен оңдолбойт.
Кардарда NetworkManagerдин L2TP кошумчасы pppd сүйлөшүүсүн журналга жазат, ошондуктан journalctl -u NetworkManager -b адатта туннель көтөрүлдү, аутентификация четке кагылды абалын такыр туннель жок абалынан ажыратат. Windowsто Get-VpnConnection профилдин чыныгы аутентификация жөндөөлөрүн билдирет, ал эми Event Viewerде Application астындагы RasClient окуялары ишке ашпаган компонентти атайт. Диалог өтө бүдөмүк болсо, netsh ras set tracing * enable буйругун күйгүзүңүз.
Жазуулар бир этияттыкты талап кылат. Транспорт режиминдеги IPsec менен ички UDP 1701 шифрленген, ошондуктан тышкы интерфейстеги жазуу ESP көрсөтөт, же NAT-T астында UDP 4500, жана такыр L2TP жок. Жазууда 1701 жок болушу күтүлгөн нерсе жана жабык порттун далили эмес; ESP же 4500 эсептегичтери кыймылдайбы, байкаңыз.
NAT, MTU жана маршруттар: стек сизди кайда адаштырат
NAT бир нерсе аутентификацияланганга чейин эле божомолдорду бузат. ESP — өзүнчө IP протоколу, ошондуктан которуучу түзмөк аны өнөктөштөр инкапсуляциялабаса таштайт; муну UDP 4500 камсыз кылат. Өзү үй роутеринин же булуттук NAT дарбазасынын артында турган Windows серверинде IPsec баскычы 789 катасы менен ишке ашпайт, PolicyAgent ачкычынын астында AssumeUDPEncapsulationContextOnSendRule 2ге коюлуп, машина кайра жүктөлмөйүнчө, жана бузулуу жабык порттон айырмаланбайт. NAT артындагы кардарлар оңоюраак: серверде коомдук дарек болсо, UDP 4500 үстүндөгү NAT-T аларды ташыйт жана бул маани катышпайт.
PPP көтөрүлгөндөн кийин, кара чуңкурлуу MTU өлүк туннелди туурайт: кичине пакеттер өтөт, TLS кол алышуусу же барак жүктөө илинип калат, ал эми кардар дагы эле туташкан көрсөтүшү мүмкүн. Серверди күнөөлөөдөн мурун интерфейстин MTUсун төмөндөтүңүз же дарбазада MSSти кысыңыз. Бөлүнгөн туннелдин маршруттоосу — экинчи алдамчы; туура эмес маска менен жиберилген ички тармак туннелди соо, ал эми бир колдонмону жеткиликсиз калтырат. Жеке хост аты өз кадамын кошот: сурам жергиликтүү чечмелөөчү аркылуу чыкса, эч кандай маршрут текшерилмей туруп ат чечилбейт.
Эсептик маалыматтарга кол тийгизүүдөн мурунку текшерүү тизмеси
Тизмени кезеги менен аткарыңыз жана биринчи ишке ашпаган пунктта токтоңуз. Ар бир кадам арзан, жана ар бири оңдоолордун бүтүндөй классын жокко чыгарат.
- Ассоциация эки тарапта тең бар экенин ырастаңыз, туташкан белгиси менен эмес, өнөктөштүн инсандыгы менен дал келтирип.
- UDP 1701 xl2tpdге жетээрин ырастаңыз; чакыруусуз ассоциация — сиздин бузулууңуз.
- Сырсөз туура эмес деп ойлоодон мурун PPPнин өкүмүн, ал эми аутентификацияланса, IPCPнин жыйынтыгын окуңуз.
- Азыр гана эсептик маалыматтарды сервер күткөн форматта кайра киргизиңиз, анткени домен префикси эсепти өзгөртөт.
- Эгер дагы эле ишке ашпаса, эки тарапты теңелтилген убакыт белгилери менен жазып алып, баскыч-баскыч салыштырыңыз.
Экинчи кадамда токтоо жол же инкапсуляция маселесин билдирет, жана сырсөздүн эч бир оңдоосу аны козгобойт. Үчүнчү кадамда токтоо журнал оңдолуучу ыкманы же дарек пулун атап койгонун билдирет. Кандай болбосун, кийинки өзгөртүү — өзүңүз негиздей алган өзгөртүү, жана эч качан катышпаган жөндөөлөрдү айланта берүүнү токтотосуз.