PPTP, L2TP/IPsec എന്നിവ ഉപയോക്തൃനാമ പ്രോംപ്റ്റിന് മുമ്പേ നിലയ്ക്കുന്നത് എന്തുകൊണ്ട്?
ഉപയോക്തൃനാമ പ്രോംപ്റ്റ് വരാത്തത് PPP ഒരിക്കലും ആരംഭിച്ചില്ല എന്നാണ് അർത്ഥം, അതിനാൽ തകരാർ ഗതാഗതം, കീ കൈമാറ്റം അല്ലെങ്കിൽ ടണൽ ക്രമീകരണത്തിലാണ്. പുനഃസ്ഥാപിക്കുന്നതിന് മുമ്പ് ഘട്ടങ്ങളുടെ ക്രമം പരിശോധിക്കുക.
ഉപയോക്തൃനാമ പ്രോംപ്റ്റ് വരാത്തത് ഒരു രോഗനിർണയ സമ്മാനമാണ്: PPP ഇതുവരെ ആരംഭിച്ചിട്ടില്ല, അതിനാൽ അക്കൗണ്ട്, പാസ്വേഡ്, ഡൊമെയ്ൻ നയം എന്നിവ ഇതുവരെ ചോദിച്ചിട്ടില്ല. PPTP അല്ലെങ്കിൽ L2TP/IPsec കണക്ഷനിൽ ടണൽ നിലവിലുണ്ടായി സർവർ PPP സെഷൻ ആരംഭിച്ചതിന് ശേഷമാണ് ക്ലൈന്റ് ആധികാരികത ആവശ്യപ്പെടുന്നത്. ആ നിമിഷത്തിന് മുമ്പ് പരാജയപ്പെടാവുന്നതെല്ലാം ഗതാഗതം, കീ കൈമാറ്റം അല്ലെങ്കിൽ ടണൽ ക്രമീകരണമാണ്, ഇത് «VPN തകർന്നു» എന്നതിനേക്കാൾ വളരെ ചെറിയ മേഖലയാണ്.
കാണാത്ത പ്രോംപ്റ്റ് തകരാറിനെ മൂന്ന് ഘട്ടങ്ങളിലേക്ക് ചുരുക്കുന്നു
കണ്ണിൽ കാണുന്ന വിധത്തിൽ വിജയിച്ച അവസാന ഘട്ടം എഴുതിവയ്ക്കുക, കാരണം ഓരോന്നിനും വ്യത്യസ്ത ഉടമയും വ്യത്യസ്ത പരിഹാരവുമാണ്. രണ്ട് ഘട്ടം മുമ്പേ കുടുങ്ങിക്കിടക്കുമ്പോൾ അക്കൗണ്ട് ക്രമീകരണങ്ങൾ ഊഹിക്കുന്നത് ഒരു ഉച്ചയ്ക്ക് ശേഷം നഷ്ടപ്പെടുന്ന വഴിയാണ്.
| Stage | What has to work | How a failure looks |
|---|---|---|
| Reach | UDP 500, 4500 and 1701 — or TCP 1723 plus GRE — through every firewall and NAT device | Client hangs, then reports no response |
| Key exchange | Preshared key or certificate, phase 1 and phase 2 proposals | Fast error, or a stall after the client says it is verifying |
| Tunnel | L2TP or PPTP control channel, then PPP starts | Connects, then closes with no prompt |
| User auth | PPP credentials and an address pool with room | Prompt appears, then a rejection |
പ്രോംപ്റ്റ് ഇല്ലാതെ സമയം കഴിയുന്ന ക്ലൈന്റിന് ഒരിക്കലും IPsec അസോസിയേഷൻ ലഭിച്ചില്ല, അതിനാൽ തകരാർ IKE-യിലാണ് അല്ലെങ്കിൽ നിങ്ങളുടെ പാക്കറ്റുകൾ ഗേറ്റ്വേയിൽ എത്തുന്നുണ്ടോ എന്നതിലാണ്. ആധികാരികത പരിശോധിക്കുന്നു എന്ന് അറിയിച്ച് പിന്നീട് വീഴുന്ന ക്ലൈന്റ് സന്ദേശം സൂചിപ്പിക്കുന്നതിനേക്കാൾ മുന്നോട്ട് പോയിരുന്നു. പ്രോംപ്റ്റിന് ശേഷം നിരസിക്കൽ വന്നാൽ അത് PPP പ്രാമാണീകരണമാണ്, അതിന്റെ സ്ഥാനം അക്കൗണ്ട് ലേഖനത്തിലാണ്, ഈ ലേഖനത്തിലല്ല.
ആദ്യ ഘട്ടം: ഫയർവാൾ നിശ്ശബ്ദമായി ഉപേക്ഷിക്കുന്ന പ്രോട്ടോക്കോൾ
PPTP-യ്ക്ക് നിയന്ത്രണ ചാനലിന് TCP 1723 ഉം ഡാറ്റ പാതയ്ക്ക് IP പ്രോട്ടോക്കോൾ 47 ഉം ആവശ്യമാണ്, രണ്ടും വെവ്വേറെയാണ് സഞ്ചരിക്കുന്നത്. പല നെറ്റ്വർക്കുകളും 1723 കൈമാറി പ്രോട്ടോക്കോൾ 47 ഉപേക്ഷിക്കുന്നു, ഇത് ചർച്ച നടത്തി പിന്നീട് ഒന്നും വഹിക്കാത്ത ടണൽ സൃഷ്ടിക്കുന്നു. NAT ചെയ്യുന്ന റൗട്ടറിന് GRE പിന്തുണയുള്ള കടത്തലും വേണം, കൂടാതെ IPv6 മാത്രമുള്ള ആക്സസ് പാത ഏത് കൺഫിഗറേഷനിലും PPTP വഹിക്കാൻ കഴിയില്ല.
IPsec-ന് മുകളിലുള്ള L2TP IKE-യ്ക്ക് പോർട്ട് 500 ഉം NAT കടക്കാൻ പോർട്ട് 4500 ഉം ചെലവഴിക്കുന്നു, തുടർന്ന് L2TP ട്രാഫിക്ക് തന്നെ 1701-ൽ പൊതിയുന്നു, അസോസിയേഷൻ ഉണ്ടായാൽ ESP സംരക്ഷിത പേലോഡ് വഹിക്കുന്നു. രണ്ട് നിയന്ത്രണ പോർട്ടുകൾ അനുവദിച്ച് ESP അനുവദിക്കാതിരുന്നാൽ, കൃത്യമായി ശീർഷകത്തിലെ ലക്ഷണം ലഭിക്കും: കാണുന്ന പുരോഗതി, പിന്നീട് ഏതെങ്കിലും ആധികാരികത സംഭാഷണത്തിന് മുമ്പേ മരിച്ച ക്ലൈന്റ്. ഫോൺ ഹോട്ട്സ്പോട്ടിൽ നിന്ന് പരീക്ഷിക്കുന്നത് ക്ലൈന്റ് പ്രശ്നത്തെ പാതയുടെ പ്രശ്നത്തിൽ നിന്ന് വേർതിരിക്കാനുള്ള വിലകുറഞ്ഞ വഴിയാണ്.
രണ്ടാം ഘട്ടം: കീ അല്ലാത്ത കീ, വാഗ്ദാനം ചെയ്യാത്ത നിർദ്ദേശം
പൊരുത്തപ്പെടാത്ത മുൻകൂട്ടി പങ്കിട്ട കീ വേഗത്തിലും നിശ്ശബ്ദമായും പരാജയപ്പെടുന്നു, സാധാരണ രൂപം സ്ക്രീനിൽ ശരിയെന്ന് തോന്നുന്നെങ്കിലും ഒട്ടിച്ച വരി വിരിവോ അവസാനത്തിൽ ഇടയോ വഹിക്കുന്ന കീയാണ്. Linux ക്ലൈന്റിൽ സംഭാഷണം സത്യത്തിന്റെ ഉറവിടമായിരിക്കണമെന്നില്ല: NetworkManager-ന്റെ L2TP പ്ലഗിൻ രഹസ്യങ്ങൾ /etc/ipsec.d/-ന് കീഴിലുള്ള ഫയലുകളിൽ സൂക്ഷിക്കുന്നു, കൂടാതെ /etc/ipsec.secrets ഇപ്പോഴും ഉൾപ്പെടുത്തുന്ന പഴയ ഓരോ-കണക്ഷൻ ഫയൽ നിങ്ങൾ ഇപ്പോൾ ടൈപ്പ് ചെയ്തതിന് പകരം ഉപയോഗിക്കും. ആ ഫയൽ സുരക്ഷിതമായ സ്ഥലത്തേക്ക് പകർത്തി, ഉൾപ്പെടുത്തൽ പാതയിൽ നിന്ന് നീക്കി, തുടർന്ന് കീ കൈകൊണ്ട് വീണ്ടും ടൈപ്പ് ചെയ്യുക.
ഈ ഘട്ടത്തിന്റെ മറ്റേ പകുതി നിർദ്ദേശമാണ്. ഇരു അറ്റങ്ങളും ഒരേ 1-ാം ഘട്ട അൽഗോരിതം ഗണത്തിൽ — എൻക്രിപ്ഷൻ, അഖണ്ഡത, Diffie-Hellman ഗ്രൂപ്പ് — ഉം 2-ാം ഘട്ടത്തിന് യോജിക്കുന്ന ESP പരിവർത്തനങ്ങളിലും യോജിക്കണം, അല്ലെങ്കിൽ അസോസിയേഷൻ ഒട്ടും രൂപപ്പെടുന്നില്ല. 3DES, SHA1, MODP1024 മാത്രം വാഗ്ദാനം ചെയ്യുന്ന ഗേറ്റ്വേ ശക്തമായ അൽഗോരിതങ്ങൾക്കായി ക്രമീകരിച്ച ക്ലൈന്റിനെ നിരസിക്കും, അതിന്റെ ലോഗ് നിരസിച്ച പരിവർത്തനം പേരെടുത്ത് പറയും. സേവനം വീണ്ടും റീസ്റ്റാർട്ട് ചെയ്യുന്നതിന് പകരം ലോഗ് വായിച്ചാൽ ലോഗ് തന്നെ വൈരുദ്ധ്യം പേരെടുത്ത് പറയും. ഫോറം ത്രെഡിൽ നിന്ന് അൽഗോരിതം സ്ട്രിംഗ് പകർത്തുന്നതിന് പകരം ഗേറ്റ്വേയോട് അത് യഥാർത്ഥത്തിൽ ഏത് പരിവർത്തനങ്ങൾ ചർച്ച ചെയ്യുമെന്ന് ചോദിക്കുക: അതിന്റെ വിലാസത്തിലേക്ക് ലക്ഷ്യമിട്ട ike-scan അത് ചർച്ച ചെയ്യുന്ന പരിവർത്തനങ്ങൾ തിരികെ നൽകുന്നു. ഒരേയൊരു വാഗ്ദാനം നിങ്ങളുടെ നയം ഇനി അനുവദിക്കാത്ത ക്രിപ്റ്റോഗ്രഫിയാണെങ്കിൽ, തിരുത്തൽ ക്ലൈന്റ് താഴ്ത്തുന്നതിലല്ല, ഗേറ്റ്വേയിലാണ്.
Windows-ൽ കീയും പ്രാമാണീകരണ രീതിയും VPN പ്രൊഫൈലിലാണ്, വൈരുദ്ധ്യം ആധികാരികത പ്രോംപ്റ്റിന് ശേഷമല്ല, അതിന് മുമ്പാണ് പ്രത്യക്ഷപ്പെടുന്നത്. സ്വീകർത്താവ് Windows Server ആണെങ്കിൽ, ദൂരസ്ഥ പ്രവേശന റോൾ ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ടെന്നും, സർട്ടിഫിക്കറ്റ് ക്ലൈന്റുകൾ ബന്ധിപ്പിക്കുന്ന പേരുമായി പൊരുത്തപ്പെടുന്നുവെന്നും, ഏതെങ്കിലും പോർട്ട് ഫിൽട്ടർ മുകളിലെ പ്രോട്ടോക്കോളുകളേക്കാൾ ഇടുങ്ങിയതല്ലെന്നും ഉറപ്പാക്കുക.
മൂന്നാം ഘട്ടം: ടണൽ ഉണ്ട്, PPP ആരംഭിക്കുന്നില്ല
IKE പൂർത്തിയായിട്ടും പ്രോംപ്റ്റ് വരുന്നില്ലെങ്കിൽ ഫയർവാളല്ല, ടണൽ ഡീമൺ നോക്കുക. L2TP-യ്ക്ക് UDP 1701-ൽ ശ്രവിക്കുന്ന എന്തെങ്കിലും വേണം — Linux-ൽ xl2tpd അല്ലെങ്കിൽ kl2tpd, Windows-ൽ ദൂരസ്ഥ പ്രവേശന സേവനം — ഇൻസ്റ്റാൾ ചെയ്തെങ്കിലും നിർത്തിയ സേവനം ക്ലൈന്റിന്റെ ഭാഗത്തുനിന്ന് ഉപേക്ഷിച്ച പാക്കറ്റിനെപ്പോലെ തന്നെ കാണപ്പെടുന്നു. നിങ്ങൾ ഇതിനകം പരിശോധിച്ച നിയമങ്ങൾ വീണ്ടും തുറക്കുന്നതിന് മുമ്പ് ശ്രോതാവിനെ പരിശോധിക്കുക. തുടർന്ന് PPP ചർച്ച ചെയ്യണം, ആദ്യ LCP കൈമാറ്റമാണ് നിശ്ശബ്ദ പരാജയം സാധാരണയായി ഇറങ്ങുന്ന സ്ഥലം.
ഈ ഘട്ടത്തിലെ ഒരു കെണി നെറ്റ്വർക്ക് തകരാറേ അല്ല: Windows ഒരു നിശ്ചിത VPN തരത്തിന്റെ ഒരു കണക്ഷൻ മാത്രമേ ഒരേസമയം അനുവദിക്കൂ, അതിനാൽ രണ്ടാം ശ്രമം പിശക് 937 നൽകുന്നു, «ഈ തരത്തിലുള്ള മറ്റൊരു കണക്ഷൻ ഉപയോഗത്തിലുണ്ട്». ഇത് പ്രാദേശിക നിയമമാണ്, അതിനെ മറികടക്കാനുള്ള വഴി മറ്റൊരു ഉപകരണം, മറ്റൊരു ടണൽ തരം, അല്ലെങ്കിൽ ഇതിനകം നിലവിലുള്ള ഏക കണക്ഷൻ പങ്കിടുന്നതാണ്.
ഊഹിക്കുന്നതിന് പകരം ഘട്ടങ്ങളുടെ ക്രമത്തിൽ ലോഗ് വായിക്കുക
ക്ലൈന്റ് നിർത്തി, വീണ്ടും ആരംഭിച്ച്, ഘടകങ്ങൾ അവ ലോഗ് എഴുതുന്ന ക്രമത്തിൽ വായിക്കുക. അതായത് ആദ്യം IPsec ഡീമൺ — strongSwan അല്ലെങ്കിൽ Libreswan, ഏതെന്ന് ipsec --version പറയുന്നു — പിന്നീട് L2TP ഡീമൺ, പിന്നീട് pppd. പരാജയത്തിന് മുമ്പ് അവസാനം എഴുതിയ ഘടകം അന്വേഷിക്കേണ്ട ഘട്ടം അടയാളപ്പെടുത്തുന്നു, കാരണം ക്രമത്തിൽ അതിന് ശേഷം വരുന്നതൊന്നും ഓടിയിട്ടില്ല.
സംരക്ഷിച്ച സെഷനല്ല, പുതിയ കണക്ഷൻ ഉപയോഗിച്ച് പരിശോധിക്കുക, കാരണം കാഷെയിൽ നിന്ന് വീണ്ടും ബന്ധിപ്പിക്കുന്ന ക്ലൈന്റ് കൈമാറ്റത്തിന്റെ ഭാഗങ്ങൾ ഒഴിവാക്കി പഴയ ഫലം പുനഃസൃഷ്ടിച്ചേക്കാം. എത്തിച്ചേരൽ, കീ കൈമാറ്റം, ടണൽ, PPP എന്നിവ ഒന്നൊന്നായി, അതേ ക്രമത്തിൽ ഉറപ്പാക്കുക. അപ്പോൾ കാണാത്ത പ്രോംപ്റ്റ് പ്രഹേളികയായിരിക്കുന്നത് നിർത്തി യഥാർത്ഥത്തിൽ പ്രവർത്തിക്കാവുന്ന ഒരു പട്ടികയുടെ രണ്ടാം വരിയാകുന്നു. ആ പട്ടിക തന്നെയാണ് നിങ്ങൾ നെറ്റ്വർക്ക് ടീമിന് നൽകുന്നത്, അല്ലെങ്കിൽ ആരംഭിക്കാത്ത ഡീമണിൽ കഴിയുന്ന തകരാറിനായി ഫയർവാൾ പരിശോധിക്കാൻ അവരോട് ആവശ്യപ്പെടുമായിരുന്നു.