L2TP/IPsec-Fehler 789 op Windows: Profil erstellen an d'Propositioun festhalen

De Fehler 789 op enger Windows-L2TP-Verbindung bedeit, datt den Tunnel bannent dem IPsec-Sécherheetsaustausch gestuerwen ass, wat vill méi fréi geschitt wéi Windows e Benotzerpasswuert iergendwou hinschickt. D'Passwuert nach eng Kéier ze probéieren oder et am Verzeechnis zréckzesetzen kann dës Etapp net viru bréngen. Wat se viru bréngt ass d'Verbindung vum PowerShell aus nei opzebauen, mat der Propositioun déi de Gateway tatsächlech ubitt, well den Assistent vun den Astellunge d'IPsec-Transformatiounen am Stille wielt an dir ni weist wat e gewielt huet. Dëst ass de Runbook dofir: erstellt de Profil, haalt d'Propositioun fest, a benotzt duerno eng Etappentabell, sou datt de nächsten Code dir eppes seet.

Erstellt de Profil ouni den Assistent

Add-VpnConnection schreift en nativen Telefonsbuch-Andro, also ass d'Resultat dat selwecht Objet, deen d'Astellunge-App méi spéit editéiert. Féiert en aus enger erhéiter Sessioun aus, wann d'Verbindung fir all Kont op der Maschinn existéiere soll, oder aus dem Benotzerkontext, wann se privat bleiwe soll:

Add-VpnConnection -Name "Contoso L2TP" `
  -ServerAddress 203.0.113.10 `
  -TunnelType L2tp `
  -EncryptionLevel Required `
  -AuthenticationMethod MSChapv2 `
  -RememberCredential -Force

Passt -AuthenticationMethod un dat un, wat de Gateway ubitt. MSChapv2, EAP an PAP sinn net auswiesselbar, an e Profil deen eng Method verlaangt, déi de Server net akzeptéiert, schléit fehl éier iergendeen Benotzerdatensaz consultéiert gëtt. Haalt -EncryptionLevel Required fir alles Éierlech; Optional léisst Windows en onverschlësselten Tunnel akzeptéieren, wann de Géigendeel een ubitt, wat eng Laborkierzweedung ass an net eng Astellung fir auszeliwweren.

Wann Dir -L2tpPsk weidergeeft, gëtt dee viru gedeelte Schlëssel an de Profil op der Disk geschriwwen, vun wou jiddereen, deen de Profil op där Maschinn liese kann, en erëmkréie kann. Benotzt en Zertifikat fir d'Authentifikatioun vum Géigendeel, wann de Gateway et ënnerstëtzt, a wann eng PSK onvermeidlech ass, haalt se aus dem Repository an aus der Shellgeschicht eraus, amplaz se an all Approvisionéierungslaf ze pechen.

Haalt d'Propositioun fest amplaz d'Standardwäerter ze akzeptéieren

Windows fëllt d'IPsec-Transformatiounen selwer aus, an dofir kënnen zwou Maschinne mat enger anscheinend identescher Verbindung géint dee selwechte Gateway ënnerschiddlech fehlschloen. Set-VpnConnectionIPsecConfiguration ass de ënnerstëtzte Wee fir se festzehalen:

Set-VpnConnectionIPsecConfiguration -ConnectionName "Contoso L2TP" `
  -AuthenticationTransformConstants SHA256128 `
  -CipherTransformConstants AES128 `
  -EncryptionMethod AES128 `
  -IntegrityCheckMethod SHA256 `
  -DHGroup Group14 `
  -PfsGroup None `
  -PassThru -Force

Dee Set ass eng üblech L2TP/IPsec-Anuerdnung, keng universell Äntwert. All Parameter akzeptéiert eng fix Lëscht vu Wäerter, an eng Kombinatioun, déi d'Plattform net ka mappen, kënnt als cmdlet-Fehler zréck amplaz als eng stëlleg geschwächten Profil. Behandelt esou e Fehler als Ausso iwwer d'Wäerter, net iwwer Är Berechtegungen.

Kopéiert d'Propositioun aus der Dokumentatioun vum Gateway oder aus senge liewegen Astellunge fir Phas 1 a Phas 2, a ännert een Feld op eemol nëmmen während de Gateway d'Transformatiounen loggt, déi en ofléisst. Duerch fënnef Felder ze goen erstellt eng Verbindung, déi duerch Zufall funktionéiert, an en Datensaz, deen der nächster Persoun näischt erkläert.

Liest e Fehler no Etapp, net no Fehlertext

789 gehéiert zu enger Famill vu Coden, déi am Clientdialog all gläich ausgesinn. Setzt de Code virun déi Etapp, zu där en gehéiert, éier Dir de Profil nach eng Kéier beréiert:

Déi zwou Rolle vun den Umeldungsinformatiounen zielen hei. En viru gedeelte Schlëssel oder en Zertifikat authentifizéiert d'Géigendeeler géinteneen, während MSChapv2 oder EAP Iech bannent dem Tunnel authentifizéiert. D'Benotzerpasswuert zréckzesetzen kann déi éischt net reparéieren, en neie gemeinsame Geheimnis kann déi zweet net reparéieren, an all zwee op eemol z'änneren zerstéiert de Beweis wéi eng falsch war.

Op dem Zertifikatswee kontrolléiert d'ClientAuer, d'Vertrauenskette an d'Identitéit déi de Gateway erwaart, éier Dir eng Lockerung vun der Validéierung betruecht. D'Validéierung ofzeschalten verwandelt en sichtbaren 789 an en Tunnel, deen sech verbënnt wärend en dem falsche Géigendeel vertraut, an näischt am Client wäert Iech soen datt dat geschitt ass. Lëscht vun de Fernzougriffsfehler vun Microsoft ass d'Referenz fir d'Coden selwer, an se trennt d'Fehler vun der Sécherheetsschicht vun de Loginfehler.

Iwwerpréift vun zwou Säiten, éier Dir et als reparéiert bezeechent

Liest de Profil zréck, awer erwaart d'Propositioun net an der Ausgab. Get-VpnConnection mellt den Numm, d'Serveradress, den Tunnelltyp, d'Verschlësselungsniveau an d'Authentifikatiounsmethod, an et weess näischt iwwer Transformatiounen, also bestätegt d'Zeréckliesen datt den Andro existéiert an op de richtege Host weist:

Get-VpnConnection -Name "Contoso L2TP" |
  Select-Object Name, ServerAddress, TunnelType, EncryptionLevel, AuthenticationMethod

Wielt aus der Kommandozeil, sou datt Dir eng Nummer amplaz engem Dialog kritt: rasdial "Contoso L2TP" gëtt dee selwechte Fehlercode zréck, deen d'Interface géif zréckginn, an rasdial "Contoso L2TP" /disconnect läscht en tëschent de Versich. Liest duerno d'Gateway-Säit fir dee selwechten Versuch. En ipsec statusall vum strongSwan oder en IKE-Log vum Router seet, wéi eng Propositioun ukomm ass a wéi eng refuséiert gouf, an dat mat de cmdlet-Wäerter ze vergläichen ass deen eenzegen Schrëtt, deen tatsächlech beweist, datt sech déi zwou Säiten eens ginn.

Eng erfollegräich Verbindung ass net d'Zillinn. Maacht d'App op, déi dem Benotzer wichteg ass, well Routen, gedréckt DNS an Astellunge fir de geteilten Tunnel no dem Opbau vum Tunnel fehlschloen an iwwerhaapt keen Fehlerdialog produzéieren.

Automatiséiert et, a gitt propper zréck

Déi oniwwerwaacht Installatioun ass de Grond fir dëst ze skripten, an de Wählschrëtt ass do wou d'Umeldungsinformatiounen erausleeën. rasdial hëlt se op senger Kommandozeil, wou aner lokal Benotzer an déi meescht Logsammler se liese kënnen:

subprocess.run(["rasdial", "Contoso L2TP"], check=True)

Bevirzugt eng Umeldungsinformatioun, déi op de Kont limitéiert ass deen d'Aarbecht ausféiert, oder loosst de Profil se mat -RememberCredential späicheren, amplaz e Passwuert als Argument an enger geplanter Aufgab ze iwwerginn. D'Approvisionéierungsbefehler selwer si sécher mat -Force ze widderhuelen, awer se iwwerschreiwen gär eng al Propositioun, also hëlleft eng Widderholung nëmmen, wann de Skript déi aktuell Wäerter dréit.

Profiler iwwerdaueren Neistarts a liewen méi laang wéi d'Gateway-Konfiguratioun fir déi se gebaut goufen. Wann d'Propositioun vum Gateway sech beweegt, huelt den Andro ewech a maacht en nei, amplaz en zweeten Set vu Wäerter driwwer ze schichten: Remove-VpnConnection -Name "Contoso L2TP" -Force, a widderhielt duerno déi zwou cmdletë mam neie Set.

Schléisst de Krees mat véier Kontrollen, déi nieft dem Skript liewen: Get-VpnConnection weist den erwaarten Tunnelltyp an d'Verschlësselungsniveau; de Gateway loggt eng ofgeschloss Phas 1 an Phas 2 fir d'Adress vun Ärem Client; rasdial gëtt Erfolleg zréck an d'App geet op; an d'Propositioun déi am Skript festgehale gouf entsprécht der aktueller Gateway-Astellung. Wann de nächsten 789 kënnt, hëlt dee Verglach Minutten amplaz engem Nomëtteg.