Firwat halen PPTP an L2TP/IPsec un, ier no Benotzernumm gefrot gëtt?
Wann et keng Ufro fir de Benotzernumm gëtt, ass PPP ni ugefaang, also läit de Feeler am Transport, am Schlësselaustausch oder am Tunnelsopbau. Kontrolléiert d'Reihenfolg vun den Etappen, ier Dir nei installéiert.
Keng Ufro fir de Benotzernumm ass e diagnostesche Geschenk: PPP ass nach net ugefaang, also gouf de Kont, d'Passwuert an d'Domänpolitik nach net gefrot. An enger PPTP- oder L2TP/IPsec-Verbindung freet de Client d'Authentifikatiounsdaten eréischt, wann den Tunnel existéiert an de Server eng PPP-Sessioun ugefaang huet. Alles, wat virun deem Ament ka feelen, ass Transport, Schlësselaustausch oder Tunnelopbau, wat eng vill méi kleng Fläch ass wéi „d'VPN ass futti”.
Eng feelend Ufro enkelt de Feeler op dräi Etappen an
Schreift déi lescht Etapp op, déi sichtbar gelungen ass, well jiddwereen huet en aneren Eegentemer an eng aner Léisung. Bei den Kontastellungen ze roden, während Dir zwou Etappen éischter stoe bleift, ass de Wee, wéi en Nomëtteg verschwënnt.
| Stage | What has to work | How a failure looks |
|---|---|---|
| Reach | UDP 500, 4500 and 1701 — or TCP 1723 plus GRE — through every firewall and NAT device | Client hangs, then reports no response |
| Key exchange | Preshared key or certificate, phase 1 and phase 2 proposals | Fast error, or a stall after the client says it is verifying |
| Tunnel | L2TP or PPTP control channel, then PPP starts | Connects, then closes with no prompt |
| User auth | PPP credentials and an address pool with room | Prompt appears, then a rejection |
E Client, deen ouni Ufro auslaf, huet ni eng IPsec-Assoziatioun kritt, also läit de Feeler am IKE oder doran, ob Är Pakete iwwerhaapt bis bei de Gateway kommen. Dee, dee mellt, hie géif d'Authentifikatiounsdaten iwwerpréiwen, an dann afällt, ass méi wäit komm wéi d'Noriicht et vermuten léisst. Eng Ufro mat enger Oflehnung duerno ass PPP-Authentifikatioun, an dat gehéiert an en Artikel iwwer de Kont, net an dësen.
Éischt Etapp: de Protokoll, deen eng Firewall stëll verwërft
PPTP brauch TCP 1723 fir säi Kontrollkanal an IP-Protokoll 47 fir de Datenwee, an déi zwee reesen getrennt. Vill Netzwierker leeën 1723 duerch a verwerfen de Protokoll 47, wat en Tunnel ergëtt, deen ausgehandelt gëtt an dann iwwerhaapt näischt dréit. En Router, deen NAT mécht, brauch och eng GRE-fäeg Duerchféierung, an en Zougangswee nëmme mat IPv6 ka PPTP ënner kenger Konfiguratioun droen.
L2TP iwwer IPsec verbraucht de Port 500 fir IKE an de Port 4500 fir NAT-Ëmwee, verpakt dann den L2TP-Verkehr selwer an 1701, wärend ESP déi geschützt Laascht dréit, soubal d'Assoziatioun existéiert. Erlaabt déi zwou Kontrollporten, awer net ESP, an Dir kritt genee de Symptom aus dem Titel: sichtbare Fortschrëtt, dann e doudege Client virun all Authentifikatiounsdialog. Vun engem Telefonhotspot aus ze testen ass en duerbst Wee, fir e Clientproblem vun engem Weeproblem ze trennen.
Zweet Etapp: e Schlëssel, deen net de Schlëssel ass, e Virschlag, deen net ugebuede gëtt
En net passende virdrun gedeelte Schlëssel feelt séier a stëll, an déi üblech Versioun ass e Schlëssel, deen um Écran richteg ausgesäit, awer en agetrueden Zeilenëmbroch oder e Leerzeechen um Enn huet. Op engem Linux-Client ass den Dialog net onbedéngt d'Quell vun der Wourecht: de L2TP-Plug-in vum NetworkManager hält Geheimnisser a Fichieren ënner /etc/ipsec.d/, an e méi ale Fichier pro Verbindung, deen /etc/ipsec.secrets nach enthält, gëtt amplaz vum just getippte benotzt. Kopéiert deen Fichier op enger sécherer Plaz, hëlt en aus dem Inklusiounswee eraus, a tippt dann de Schlëssel vun Hand nei.
Déi aner Halschent vun dëser Etapp ass de Virschlag. Béid Enden mussen sech op deeselwechte Phase 1-Algorithmusset eeneg sinn — Verschlësselung, Integritéit an Diffie-Hellman-Grupp — an op passend ESP-Transformatiounen fir Phase 2, soss entsteet d'Assoziatioun guer net. E Gateway, dee just 3DES, SHA1 an MODP1024 ubitt, refuséiert e Client, dee fir méi staark Algorithmen ageriicht ass, an säi Log nennt déi refuséiert Transformatioun. De Log nennt d'Onstëmmegkeet, wann Dir en liest, amplaz de Service nach eng Kéier nei ze starten. Amplaz eng Algorithmusketten aus engem Forumthread ze kopéieren, freet de Gateway, wéi eng Transformatiounen hien tatsächlech verhandele wäert: ike-scan op seng Adress geriicht gëtt déi Transformatiounen zréck, déi hie verhandele wäert. Wann dat eenzegt Ugebot Kryptografie ass, déi Är Politiki net méi erlaabt, gehéiert de Fix op de Gateway an net an en Downgrade vum Client.
Ënner Windows liewen de Schlëssel an d'Authentifikatiounsmethod am VPN-Profil, an eng Onstëmmegkeet weist sech virun der Authentifikatiounsofro an net duerno. Wou den Empfänger e Windows Server ass, bestätegt, datt d'Roll fir Remote-Zougang installéiert ass, datt den Zertifikat zum Numm passt, mat deem sech d'Cliente verbannen, an datt kee Portfilter méi enk ass wéi d'Protokoller uewendriwwer.
Drëtt Etapp: den Tunnel existéiert an PPP fänkt ni un
Wann IKE fäerdeg ass an d'Ufro awer ni erschéngt, kuckt op den Tunneldämon amplaz op d'Firewall. L2TP brauch eppes, dat op UDP 1701 lauschtert — xl2tpd oder kl2tpd ënner Linux, de Remote-Zougangsservice ënner Windows — an e Service, deen installéiert awer gestoppt ass, gesäit vun der Clientsäit genee sou aus wéi e verworfene Paket. Kontrolléiert de Lauschterer, ier Dir Reegele nees opmaacht, déi Dir schonn iwwerpréift hutt. Duerno muss PPP verhandelen, an den éischten LCP-Austausch ass d'Plaz, wou e stille Feeler meeschtens landt.
Eng Fall aus dëser Etapp ass guer kee Netzwierkfeeler: Windows erlaabt just eng Verbindung vun enger bestëmmter VPN-Aart gläichzäiteg, also gëtt en zweeten Versuch de Feeler 937 zréck, „eng aner Verbindung vun dëser Aart ass am Gebrauch”. Dat ass eng lokal Regel, an de Wee laanscht ass en anert Apparat, eng aner Tunnelart oder d'Deelen vun der eenzeger Verbindung, déi et schonn gëtt.
Liest de Log an der Reihenfolg vun den Etappen amplaz ze roden
Stoppt de Client, startet en nei, a liest d'Komponenten an der Reihenfolg, an där se Log schreiwen. Dat heescht als éischt den IPsec-Dämon — strongSwan oder Libreswan, an ipsec --version seet Iech wéien — dann den L2TP-Dämon, dann pppd. Wéi eng Komponent och ëmmer als lescht virum Feeler geschriwwen huet, markéiert d'Etapp fir z'ënnersichen, well alles, wat duerno an der Reihenfolg kënnt, ass guer net gelaf.
Verifizéiert mat enger frëscher Verbindung an net mat enger gespäicherter Sessioun, well e Client, dee sech aus dem Cache nei verbënnt, Deeler vum Austausch iwwerspréngt a sou en alen Resultat reproduzéiert. Bestätegt Erreechbarkeet, Schlësselaustausch, Tunnel a PPP ee fir ee, an där Reihenfolg. Dann hält d'feelend Ufro op, e Rätsel ze sinn, a gëtt déi zweet Linn vun enger Lëscht, déi Dir wierklech duerchschaffe kënnt. Déi Lëscht ass och dat, wat Dir dem Netzwierkteam gitt, dat soss gefrot géif ginn, d'Firewall op e Feeler ze préiwen, deen an engem net gestarteten Dämon lieft.