L2TP/IPsec алдаа 789, 720 эсвэл 691: эхлээд зөв үе шатыг засаарай

Windows 11 L2TP/IPsec-ийн үе шат бүрт өөр дугаар мэдээлдэг бөгөөд энэ дугаар нь алдааг үнэлэхээс илүү үе шатыг тэмдэглэдэг. 789 нь PPP холболт үүсэхээс өмнө бүтэлгүйтдэг, 720 нь холболт босч байх үед бүтэлгүйтдэг, 691 нь холболт боссны дараа нэвтрэх мэдээлэл татгалзагдсаны дараа бүтэлгүйтдэг. Ашигтай шийдвэр нь аль засвар хамгийн алдартай вэ гэдэг биш; код таныг аль үе шатад хүрснийг нотолж байгаа нь юм. Эхлээд түүнийг уншаарай, дараа нь оролдлого бүрт нэг давхаргыг өөрчилж, дараагийн код танд өөр нэг зүйл хэлэх болтугай.

Кодыг алдааны жагсаалт биш, үе шат гэж уншаарай

L2TP холболт тогтмол дарааллаар гурван хил давдаг. IKE нь UDP 500 дээр аюулгүй байдлын холбоог хэлэлцдэг, NAT дамжуулалт тэр урсгалыг UDP 4500 руу зөөдөг, зөвхөн дараа нь L2TP туннель хэрэглэгчийг баталгаажуулж, хаяг олгодог PPP сессийг зөөдөг.

Энэ дараалал нь өөрчлөгдөж буй алдааны кодыг ашигтай нотолгоо болгодог. 789-өөс 720 руу шилжих нь IPsec одоо хэлэлцэж байгаа бөгөөд алдаа холболт тогтоох руу шилжсэнийг илэрхийлнэ. 720-оос 691 руу шилжих нь холболт босож, гарц иргэний үнэмлэхийг татгалзсаныг илэрхийлнэ. Хэрэв таван засварыг нэгэн зэрэг хэрэглэвэл тэр дохиог алдаж, аль өөрчлөлт ажилласныг хэлж чадахгүй.

789: зам ба орон нутгийн бодлогын аль нэгийг сонгоорой

789 код нь анхны аюулгүй байдлын хэлэлцээний үеийн боловсруулалтын алдаа. IPsec хэзээ ч ашиглах боломжтой холбоо үүсгээгүй, тиймээс бүртгэл хараахан шалгагдаагүй байна. Бүртгэлээс биш, зам ба хуваалцсан түлхүүрээс эхэл.

UDP 500 ба UDP 4500 серверт хүрч байгаа, мөн урьдчилан хуваалцсан түлхүүр байт тутамд таарч байгааг баталгаажуул, үүнд үсгийн хэлбэр, төгсгөлийн зай орно. Хэрэв сервер NAT-ийн ард байвал Windows-д баримтжуулсан бүртгэлийн утга ч хэрэгтэй байж болно. Сервер NAT-ийн ард байхад 1, хоёр төгсгөл нь байхад 2 ашиглаад, дараа нь дахин эхлүүл, учир нь бодлогын агент утгыг эхлэх үед уншдаг:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Хүнд адаптерын засвар нь нөгөө салбарт хамаарна. Wi-Fi төхөөрөмж болон WAN мини портуудыг салгаж, дараа нь техник хангамжийг дахин скан хийх нь орон нутгийн IPsec стек өөрөө гэмтсэн, бусад VPN төрлүүд мөн адил бүтэлгүйтэх үед үндэслэлтэй. Зөвхөн нэг L2TP сервер бүтэлгүйтэж, бусад бүх сүлжээний зам ажиллаж байхад энэ нь дэмий хүчин чармайлт.

720: энэ адаптер ба серверийн пулын аль нэгийг сонгоорой

720 алдаа нь алсын компьютертэй холболт тогтоож чадсангүй гэж мэдээлдэг бөгөөд IPsec амжилттай болсны дараа гарч ирдэг. Туннель интерфэйс босгох эсвэл хаяг авах цэгт хүрээд дараа нь зогссон. Энэ нь үүнийг орон нутгийн адаптерын асуулт эсвэл серверийн багтаамжийн асуулт болгодог.

Шийдэхийн тулд нөлөөллийн радиусыг ашигла. Нэг Windows машины бүтэлгүйтэл нь муу WAN мини порт, зогссон Remote Access үйлчилгээ эсвэл гэмтсэн холболтын профайл руу заана. Хэд хэдэн клиент нэгэн зэрэг бүтэлгүйтэх нь сервер рүү заана: дууссан хаягийн пул, зогссон RRAS үйлчилгээ эсвэл клиентийн дэд сүлжээтэй дахин тохирохгүй пул. Загвар заасан талыг нөгөөг өөрчлөхөөс өмнө зас.

Нэг клиентийн салбарт WAN мини портуудыг нэг удаа салгаж, техник хангамжийн өөрчлөлтийг скан хийгээд дараа нь дахин эхлүүлж, дахин оролдоорой. Серверийн салбарт клиентийг биш, пул болон үйлчилгээний төлөвийг шалга, учир нь ажиллаж байгаа адаптерыг дахин суулгах нь серверт байхгүй хаягийг үүсгэж чадахгүй.

691: нэвтрэх мэдээлэл ба зогссон туслахын аль нэгийг сонгоорой

691 код нь баталгаажуулалтын татгалзал бөгөөд буруу нууц үг гэж хамгийн их буруу уншигддаг код. Туннель боссон, гарц иргэний үнэмлэх харж, түүнийг татгалзсан. Шалтгаан нь нууц үгийн талбараас гадна байж болно.

Эхлээд домэйн талбарыг, дараа нь нууц үгийн яг тэмдэгтүүдийг шалга. Залгаас, хашилт эсвэл бүрхүүлийн тусгай тэмдэгт агуулсан нууц үг серверт хүрэхээс өмнө гэмтэж болно; Linux дээр pppd нь хашилтгүй утга эсвэл байхгүй домэйн үед E=691-тэй ижил татгалзалыг мэдээлдэг. Нууцыг буулгахын оронд дахин бичээд, хуучин утга агуулж болох хадгалсан нэвтрэх мэдээллийг устга.

Хүмүүсийн алгасдаг салбар бол зогссон туслах үйлчилгээ. Нийлүүлэгчийн клиент нэвтрэх мэдээллийг гарц руу дамжуулахын тулд өөрийн үйлчилгээнд найдаж байхад, идэвхгүй болсон эсвэл унасан үйлчилгээ нууц үг зөв байсан ч 691 үүсгэдэг. Бүртгэлийг дахин тохируулахын өмнө, ялангуяа дахин эхлүүлэх эсвэл шинэчлэлтийн дараа нийлүүлэгчийн үйлчилгээний төлөвийг шалга.

Салбаруудыг тусгаарлахын тулд ижил хэрэглэгчийн нэрийг өөр ажиллаж байгаа VPN профайл эсвэл RADIUS туршилтын бүртгэл дээр туршаад үз. Хэрэв тэр амжилттай болвол нэвтрэх мэдээлэл зөв, орон нутгийн клиентийн зам сэжигтэй. Хэрэв мөн адил бүтэлгүйтвэл асуудал бүртгэл эсвэл гарцын бодлогод байна.

Оролдлого бүрт нэг давхаргыг өөрчил

Гаднаас дотогш ажилла: хүртээмж ба NAT дамжуулалт, дараа нь урьдчилан хуваалцсан түлхүүр, дараа нь орон нутгийн адаптерын стек, дараа нь нэвтрэх мэдээлэл, дараа нь серверийн пул ба үйлчилгээнүүд. Энэ дараалал нь кодуудын тодорхойлсон үе шатуудыг дагаж, үр дүн бүрийг нэг өөрчлөлтөд хамааруулах боломжийг хадгална.

Оролдлого бүрийн өмнөх ба дараах кодын, клиентийн бүтцийн, сервер эсвэл клиент өөрчлөгдсөн эсэхийн богино бүртгэл хөтөл. 789, дараа нь 720, дараа нь 691 гэх мэт дараалал нь ахицын зураг; ижил код хоёр удаа гарвал сүүлчийн өөрчлөлт тэр үе шатыг хамраагүй гэсэн үг. Windows-ийг дахин суулгах нь энэ зургийг устгаж, гарц дээр амьдардаг бүтэлгүйтлийг ховор засдаг.

Код өөрчлөгдөхөө болиход юмсыг өөрчлөхөө боль. Одоогийн код, серверийн хаяг, баталгаажуулалтын арга, оролдлогын цагийг бүртгээд, тэр бичлэгийг ажиллаж байгаа клиенттэй харьцуул. Хоёр бичлэгийн ялгаа нь ихэвчлэн хүмүүсийн анхдагчаар туршиж буй засваруудын жагсаалтаас бага байдаг.