Windows-ൽ L2TP/IPsec പിശക് 789: പ്രൊഫൈൽ സൃഷ്ടിച്ച് നിർദ്ദേശം പിൻ ചെയ്യുക
പിശക് 789 IPsec കൈമാറ്റത്തിൽ പരാജയപ്പെടുന്നു, പാസ്‌വേഡിൽ അല്ല. L2TP പ്രൊഫൈൽ സ്ക്രിപ്റ്റ് ചെയ്യുക, നിർദ്ദേശം പിൻ ചെയ്യുക, തുടർന്നുള്ള കോഡുകൾ ഘട്ടം തിരിച്ച് വായിക്കുക.
Windows-ലെ L2TP കണക്ഷനിൽ പിശക് 789 എന്നാൽ ടണൽ IPsec സുരക്ഷാ കൈമാറ്റത്തിനുള്ളിൽ മരിച്ചു എന്നാണ്, Windows എവിടെയെങ്കിലും ഉപയോക്തൃ പാസ്‌വേഡ് അയയ്ക്കുന്നതിന് വളരെ മുൻപേ ഇത് സംഭവിക്കുന്നു. പാസ്‌വേഡ് വീണ്ടും ശ്രമിക്കുന്നതോ ഡയറക്ടറിയിൽ അത് പുനഃസജ്ജീകരിക്കുന്നതോ ആ ഘട്ടത്തെ മുന്നോട്ട് നീക്കാൻ കഴിയില്ല. അതിനെ മുന്നോട്ട് നീക്കുന്നത് ഗേറ്റ്‌വേ യഥാർത്ഥത്തിൽ വാഗ്ദാനം ചെയ്യുന്ന നിർദ്ദേശത്തോടെ PowerShell-ൽ നിന്ന് കണക്ഷൻ പുനർനിർമ്മിക്കുന്നതാണ്, കാരണം ക്രമീകരണങ്ങളുടെ വിസാർഡ് IPsec പരിവർത്തനങ്ങൾ നിശ്ശബ്ദമായി തിരഞ്ഞെടുക്കുന്നു, എന്താണ് തിരഞ്ഞെടുത്തതെന്ന് ഒരിക്കലും കാണിക്കുന്നുമില്ല. ഇതാണ് അതിനുള്ള ഗൈഡ്: പ്രൊഫൈൽ സൃഷ്ടിക്കുക, നിർദ്ദേശം പിൻ ചെയ്യുക, തുടർന്ന് ഘട്ട പട്ടിക ഉപയോഗിക്കുക, അതുവഴി അടുത്ത കോഡ് നിങ്ങൾക്ക് എന്തെങ്കിലും പറയും.
വിസാർഡ് ഇല്ലാതെ പ്രൊഫൈൽ സൃഷ്ടിക്കുക
Add-VpnConnection ഒരു സ്വാഭാവിക ഫോൺ-ബുക്ക് എൻട്രി എഴുതുന്നു, അതിനാൽ ഫലം ക്രമീകരണങ്ങൾ ആപ്പ് പിന്നീട് എഡിറ്റ് ചെയ്യുന്ന അതേ ഒബ്ജക്റ്റാണ്. കണക്ഷൻ മെഷീനിലെ എല്ലാ അക്കൗണ്ടിനും വേണ്ടതുണ്ടെങ്കിൽ ഉയർത്തിയ സെഷനിൽ നിന്നും, സ്വകാര്യമായി തുടരണമെങ്കിൽ ഉപയോക്തൃ സന്ദർഭത്തിൽ നിന്നും ഇത് പ്രവർത്തിപ്പിക്കുക:
Add-VpnConnection -Name "Contoso L2TP" `
-ServerAddress 203.0.113.10 `
-TunnelType L2tp `
-EncryptionLevel Required `
-AuthenticationMethod MSChapv2 `
-RememberCredential -Forceഗേറ്റ്‌വേ വാഗ്ദാനം ചെയ്യുന്നതുമായി -AuthenticationMethod പൊരുത്തപ്പെടുത്തുക. MSChapv2, EAP, PAP എന്നിവ പരസ്പരം മാറ്റാവുന്നവയല്ല, സർവർ സ്വീകരിക്കാത്ത രീതി ആവശ്യപ്പെടുന്ന പ്രൊഫൈൽ ഏതെങ്കിലും ഉപയോക്തൃ റെക്കോർഡ് പരിശോധിക്കുന്നതിന് മുൻപേ പരാജയപ്പെടുന്നു. ഏതെങ്കിലും യഥാർത്ഥ കാര്യത്തിന് -EncryptionLevel Required നിലനിർത്തുക; Optional മറുവശം ഒന്ന് വാഗ്ദാനം ചെയ്താൽ എൻക്രിപ്ഷൻ ഇല്ലാത്ത ടണൽ സ്വീകരിക്കാൻ Windows-നെ അനുവദിക്കുന്നു, ഇത് ലാബ് ഷോർട്ട്കട്ടാണ്, അയയ്ക്കാനുള്ള ക്രമീകരണമല്ല.
നിങ്ങൾ -L2tpPsk നൽകുകയാണെങ്കിൽ, ആ മുൻകൂട്ടി പങ്കിട്ട കീ ഡിസ്കിലെ പ്രൊഫൈലിലേക്ക് എഴുതപ്പെടുന്നു, അവിടെ നിന്ന് ആ മെഷീനിൽ പ്രൊഫൈൽ വായിക്കാൻ കഴിയുന്ന ആർക്കും അത് വീണ്ടെടുക്കാം. ഗേറ്റ്‌വേ പിന്തുണയ്ക്കുമ്പോൾ പിയർ പ്രാമാണീകരണത്തിന് സർട്ടിഫിക്കറ്റ് ഉപയോഗിക്കുക, PSK അനിവാര്യമാകുമ്പോൾ അത് ഓരോ പ്രൊവിഷനിംഗ് റണ്ണിലും ഒട്ടിക്കുന്നതിന് പകരം റെപ്പോസിറ്ററിക്കും ഷെൽ ചരിത്രത്തിനും പുറത്ത് സൂക്ഷിക്കുക.
സ്ഥിരസ്ഥിതികൾ സ്വീകരിക്കുന്നതിന് പകരം നിർദ്ദേശം പിൻ ചെയ്യുക
Windows IPsec പരിവർത്തനങ്ങൾ സ്വയം പൂരിപ്പിക്കുന്നു, അതുകൊണ്ടാണ് ഒരേപോലെ തോന്നുന്ന കണക്ഷനുള്ള രണ്ട് മെഷീനുകൾ ഒരേ ഗേറ്റ്‌വേയ്‌ക്കെതിരെ വ്യത്യസ്തമായി പരാജയപ്പെടാനിടയുള്ളത്. Set-VpnConnectionIPsecConfiguration അവ പിൻ ചെയ്യാനുള്ള പിന്തുണയുള്ള മാർഗമാണ്:
Set-VpnConnectionIPsecConfiguration -ConnectionName "Contoso L2TP" `
-AuthenticationTransformConstants SHA256128 `
-CipherTransformConstants AES128 `
-EncryptionMethod AES128 `
-IntegrityCheckMethod SHA256 `
-DHGroup Group14 `
-PfsGroup None `
-PassThru -Forceആ സെറ്റ് ഒരു സാധാരണ L2TP/IPsec ക്രമീകരണമാണ്, സാർവത്രിക ഉത്തരമല്ല. ഓരോ പാരാമീറ്ററും നിശ്ചിത മൂല്യങ്ങളുടെ പട്ടിക സ്വീകരിക്കുന്നു, പ്ലാറ്റ്ഫോമിന് മാപ്പ് ചെയ്യാൻ കഴിയാത്ത സംയോജനം നിശ്ശബ്ദമായി ദുർബലമാക്കിയ പ്രൊഫൈലിന് പകരം cmdlet പിശകായി തിരികെ വരുന്നു. അത്തരം പിശകിനെ മൂല്യങ്ങളെക്കുറിച്ചുള്ള പ്രസ്താവനയായി കാണുക, നിങ്ങളുടെ അനുമതികളെക്കുറിച്ചല്ല.
ഗേറ്റ്‌വേ ഡോക്യുമെന്റേഷനിൽ നിന്നോ അതിന്റെ സജീവമായ ഘട്ടം 1, ഘട്ടം 2 ക്രമീകരണങ്ങളിൽ നിന്നോ നിർദ്ദേശം പകർത്തുക, ഗേറ്റ്‌വേ നിരസിക്കുന്ന പരിവർത്തനങ്ങൾ ലോഗ് ചെയ്യുമ്പോൾ മാത്രം ഒരു സമയം ഒരു ഫീൽഡ് മാറ്റുക. അഞ്ച് ഫീൽഡുകളിലൂടെ കടന്നുപോകുന്നത് യാദൃച്ഛികമായി പ്രവർത്തിക്കുന്ന ഒരു കണക്ഷനും അടുത്ത വ്യക്തിക്ക് ഒന്നും വിശദീകരിക്കാത്ത ഒരു രേഖയും ഉണ്ടാക്കുന്നു.
പരാജയം പിശക് ടെക്സ്റ്റിലല്ല, ഘട്ടം അനുസരിച്ച് വായിക്കുക
789 ക്ലയന്റ് ഡയലോഗിൽ എല്ലാം ഒരേപോലെ തോന്നുന്ന കോഡുകളുടെ കുടുംബത്തിൽ പെടുന്നു. പ്രൊഫൈൽ വീണ്ടും തൊടുന്നതിന് മുൻപ് കോഡ് അത് പെടുന്ന ഘട്ടത്തിന് എതിരെ വയ്ക്കുക:
| What you see | Stage that failed | Check first |
|---|---|---|
| Nothing happens, then a timeout | No IKE response at all | Server address, UDP 500 and 4500 reachability, NAT traversal on the gateway |
| Error 789 | IKE security exchange | Proposal, pre-shared key, certificate trust and client clock |
| Error 691 or a repeated password prompt | User authentication | Account state, domain, RADIUS or NPS policy |
| Tunnel up, some hosts unreachable | Routing or DNS after PPP | Split-tunnel routes, pushed DNS, remote subnet mask |
ഇവിടെ ക്രെഡൻഷ്യലുകളുടെ രണ്ട് റോളുകൾ പ്രധാനമാണ്. മുൻകൂട്ടി പങ്കിട്ട കീ അല്ലെങ്കിൽ സർട്ടിഫിക്കറ്റ് കക്ഷികളെ പരസ്പരം പ്രാമാണീകരിക്കുന്നു, അതേസമയം MSChapv2 അല്ലെങ്കിൽ EAP ടണലിനുള്ളിൽ നിങ്ങളെ പ്രാമാണീകരിക്കുന്നു. ഉപയോക്തൃ പാസ്‌വേഡ് പുനഃസജ്ജീകരിക്കുന്നത് ആദ്യത്തേത് ശരിയാക്കാൻ കഴിയില്ല, പുതിയ പങ്കിട്ട രഹസ്യം രണ്ടാമത്തേത് ശരിയാക്കാൻ കഴിയില്ല, രണ്ടും ഒരുമിച്ച് മാറ്റുന്നത് ഏതാണ് തെറ്റായിരുന്നു എന്നതിന്റെ തെളിവ് നശിപ്പിക്കുന്നു.
സർട്ടിഫിക്കറ്റ് പാതയിൽ, സാധുത പരിശോധന അയയ്ക്കുന്നതിനെക്കുറിച്ച് ആലോചിക്കുന്നതിന് മുൻപ് ക്ലയന്റിന്റെ ക്ലോക്ക്, വിശ്വാസ ശൃംഖല, ഗേറ്റ്‌വേ പ്രതീക്ഷിക്കുന്ന ഐഡന്റിറ്റി എന്നിവ പരിശോധിക്കുക. സാധുത പരിശോധന വിട്ടയച്ചാൽ കാണുന്ന 789 തെറ്റായ കക്ഷിയെ വിശ്വസിച്ചുകൊണ്ട് കണക്ട് ചെയ്യുന്ന ടണലായി മാറുന്നു, അത് സംഭവിച്ചു എന്ന് ക്ലയന്റിൽ ഒന്നും നിങ്ങളോട് പറയില്ല. Microsoft-ന്റെ റിമോട്ട് ആക്സസ് പിശകുകളുടെ പട്ടിക കോഡുകൾക്കുതന്നെയുള്ള റഫറൻസാണ്, അത് സുരക്ഷാ പാളിയുടെ പരാജയങ്ങളെ ലോഗിൻ പരാജയങ്ങളിൽ നിന്ന് വേർതിരിക്കുന്നു.
ശരിയായി എന്ന് പറയുന്നതിന് മുൻപ് രണ്ട് അറ്റങ്ങളിൽ നിന്നും പരിശോധിക്കുക
പ്രൊഫൈൽ തിരികെ വായിക്കുക, പക്ഷേ ഔട്ട്പുട്ടിൽ നിർദ്ദേശം പ്രതീക്ഷിക്കരുത്. Get-VpnConnection പേര്, സർവർ വിലാസം, ടണൽ തരം, എൻക്രിപ്ഷൻ നില, പ്രാമാണീകരണ രീതി എന്നിവ റിപ്പോർട്ട് ചെയ്യുന്നു, പരിവർത്തനങ്ങളെക്കുറിച്ച് ഒന്നും അറിയുന്നുമില്ല, അതിനാൽ വായന എൻട്രി നിലവിലുണ്ടെന്നും ശരിയായ ഹോസ്റ്റിലേക്ക് ചൂണ്ടുന്നുവെന്നും സ്ഥിരീകരിക്കുന്നു:
Get-VpnConnection -Name "Contoso L2TP" |
Select-Object Name, ServerAddress, TunnelType, EncryptionLevel, AuthenticationMethodഡയലോഗിന് പകരം ഒരു നമ്പർ ലഭിക്കാൻ കമാൻഡ് ലൈനിൽ നിന്ന് ഡയൽ ചെയ്യുക: rasdial "Contoso L2TP" ഇന്റർഫേസ് നൽകുന്ന അതേ പരാജയ കോഡ് നൽകുന്നു, rasdial "Contoso L2TP" /disconnect ശ്രമങ്ങൾക്കിടയിൽ അത് മായ്ക്കുന്നു. തുടർന്ന് അതേ ശ്രമത്തിനായി ഗേറ്റ്‌വേ വശം വായിക്കുക. strongSwan-ന്റെ ipsec statusall അല്ലെങ്കിൽ റൂട്ടറിന്റെ IKE ലോഗ് ഏത് നിർദ്ദേശമാണ് വന്നതെന്നും ഏതാണ് നിരസിച്ചതെന്നും പറയുന്നു, അത് cmdlet മൂല്യങ്ങളുമായി താരതമ്യം ചെയ്യുന്നതാണ് രണ്ട് അറ്റങ്ങളും യോജിച്ചുവെന്ന് യഥാർത്ഥത്തിൽ തെളിയിക്കുന്ന ഏക ഘട്ടം.
വിജയകരമായ കണക്ഷൻ ഫിനിഷ് ലൈൻ അല്ല. ഉപയോക്താവിന് പ്രധാനമായ ആപ്പ് തുറക്കുക, കാരണം റൂട്ടുകൾ, തള്ളിയ DNS, സ്പ്ലിറ്റ്-ടണൽ ക്രമീകരണങ്ങൾ ടണൽ ഉയർന്നതിന് ശേഷം പരാജയപ്പെടുന്നു, പിശക് ഡയലോഗ് ഒട്ടും നൽകുന്നുമില്ല.
ഇത് യാന്ത്രികമാക്കുക, വൃത്തിയായി പിൻവലിക്കുക
മേൽനോട്ടമില്ലാത്ത സെറ്റപ്പാണ് ഇത് സ്ക്രിപ്റ്റ് ചെയ്യാനുള്ള കാരണം, ഡയൽ ഘട്ടമാണ് ക്രെഡൻഷ്യലുകൾ ചോരുന്ന സ്ഥലം. rasdial അവ സ്വന്തം കമാൻഡ് ലൈനിൽ എടുക്കുന്നു, അവിടെ മറ്റ് പ്രാദേശിക ഉപയോക്താക്കൾക്കും മിക്ക ലോഗ് ശേഖരണക്കാർക്കും അവ വായിക്കാം:
subprocess.run(["rasdial", "Contoso L2TP"], check=True)ജോലി ചെയ്യുന്ന അക്കൗണ്ടിൽ പരിമിതപ്പെടുത്തിയ ക്രെഡൻഷ്യലിന് മുൻഗണന നൽകുക, അല്ലെങ്കിൽ ഷെഡ്യൂൾ ചെയ്ത ടാസ്ക്കിൽ പാസ്‌വേഡ് ആർഗ്യുമെന്റായി നൽകുന്നതിന് പകരം പ്രൊഫൈൽ -RememberCredential ഉപയോഗിച്ച് അത് സൂക്ഷിക്കാൻ അനുവദിക്കുക. പ്രൊവിഷനിംഗ് കമാൻഡുകൾ തന്നെ -Force ഉപയോഗിച്ച് ആവർത്തിക്കാൻ സുരക്ഷിതമാണ്, പക്ഷേ അവ സന്തോഷത്തോടെ പഴയ നിർദ്ദേശത്തിന് മുകളിൽ എഴുതും, അതിനാൽ സ്ക്രിപ്റ്റ് നിലവിലെ മൂല്യങ്ങൾ വഹിക്കുന്നുവെങ്കിൽ മാത്രമേ വീണ്ടും പ്രവർത്തിപ്പിക്കുന്നത് സഹായിക്കൂ.
പ്രൊഫൈലുകൾ റീബൂട്ടുകളെ അതിജീവിക്കുന്നു, അവ നിർമ്മിച്ച ഗേറ്റ്‌വേ കോൺഫിഗറേഷനെക്കാൾ കൂടുതൽ കാലം ജീവിക്കുന്നു. ഗേറ്റ്‌വേ നിർദ്ദേശം മാറുമ്പോൾ, മൂല്യങ്ങളുടെ രണ്ടാമത്തെ സെറ്റ് മുകളിൽ പാളിയാക്കുന്നതിന് പകരം എൻട്രി നീക്കം ചെയ്ത് വീണ്ടും സൃഷ്ടിക്കുക: Remove-VpnConnection -Name "Contoso L2TP" -Force, തുടർന്ന് പുതിയ സെറ്റുമായി രണ്ട് cmdlet ആവർത്തിക്കുക.
സ്ക്രിപ്റ്റിന് അരികിൽ ജീവിക്കുന്ന നാല് പരിശോധനകളോടെ ലൂപ്പ് അടയ്ക്കുക: Get-VpnConnection പ്രതീക്ഷിക്കുന്ന ടണൽ തരവും എൻക്രിപ്ഷൻ നിലയും കാണിക്കുന്നു; നിങ്ങളുടെ ക്ലയന്റ് വിലാസത്തിനായി ഗേറ്റ്‌വേ പൂർത്തിയായ ഘട്ടം 1, ഘട്ടം 2 എന്നിവ ലോഗ് ചെയ്യുന്നു; rasdial വിജയം നൽകുന്നു, ആപ്പ് തുറക്കുന്നു; സ്ക്രിപ്റ്റിൽ രേഖപ്പെടുത്തിയ നിർദ്ദേശം നിലവിലെ ഗേറ്റ്‌വേ ക്രമീകരണവുമായി യോജിക്കുന്നു. അടുത്ത 789 വരുമ്പോൾ, ആ താരതമ്യം ഉച്ചയ്ക്ക് ശേഷമല്ല, മിനിറ്റുകളിൽ പൂർത്തിയാകും.