PPTP болон L2TP/IPsec хэрэглэгчийн нэрийн асуултаас өмнө яагаад зогсдог вэ?
Хэрэглэгчийн нэрийн асуулт гарахгүй байгаа нь PPP огт эхлээгүй гэсэн үг, тиймээс алдаа нь дамжуулалт, түлхүүр солилцоо эсвэл туннель тохируулгад байна. Дахин суулгахаас өмнө үе шатуудын дарааллыг шалгана уу.
Хэрэглэгчийн нэрийн асуулт гарахгүй байгаа нь оношлогооны бэлэг: PPP хараахан эхлээгүй, тиймээс бүртгэл, нууц үг, домэйн бодлогыг хараахан асуугаагүй. PPTP эсвэл L2TP/IPsec холболтод клиент нэвтрэх мэдээллийг туннель бий болж, сервер PPP сесс эхлүүлсний дараа л асуудаг. Тэр мөчөөс өмнө бүтэлгүйтэж болох бүхэн нь дамжуулалт, түлхүүр солилцоо эсвэл туннель тохируулга бөгөөд энэ нь «VPN эвдэрсэн» гэхээс хамаагүй бага талбар юм.
Дутуу асуулт алдааг гурван үе шат болгон нарийсгана
Харагдахуйц амжилттай болсон сүүлийн үе шатыг бичиж аваарай, учир нь үе шат бүр өөр эзэн, өөр шийдэлтэй. Хоёр үе шатын өмнө гацсан байхад бүртгэлийн тохиргоог таамаглах нь нэг үдээс хойшхи цагийг алдах арга юм.
| Stage | What has to work | How a failure looks |
|---|---|---|
| Reach | UDP 500, 4500 and 1701 — or TCP 1723 plus GRE — through every firewall and NAT device | Client hangs, then reports no response |
| Key exchange | Preshared key or certificate, phase 1 and phase 2 proposals | Fast error, or a stall after the client says it is verifying |
| Tunnel | L2TP or PPTP control channel, then PPP starts | Connects, then closes with no prompt |
| User auth | PPP credentials and an address pool with room | Prompt appears, then a rejection |
Асуултгүйгээр хугацаа нь дууссан клиент хэзээ ч IPsec холбоос авч чадаагүй, тиймээс алдаа нь IKE-д эсвэл таны пакетууд гарц хүрч байгаа эсэхэд байна. Нэвтрэх мэдээллийг шалгаж байна гэж мэдэгдээд дараа нь уначихдаг клиент мессежээс илүү урагш явсан. Асуултын дараа татгалзал ирвэл энэ нь PPP баталгаажуулалт бөгөөд түүний байр нь энэ биш, бүртгэлийн тухай өгүүлэл юм.
Эхний үе шат: галт хана чимээгүй хаядаг протокол
PPTP-д удирдлагын сувагт TCP 1723, өгөгдлийн замд IP протокол 47 хэрэгтэй бөгөөд хоёулаа тусдаа явдаг. Олон сүлжээ 1723-ыг дамжуулж, 47 протоколыг хаядаг нь хэлэлцээр хийгээд дараа нь юу ч зөөдөггүй туннель үүсгэдэг. NAT хийдэг маршрутлагчид GRE дэмжлэгтэй нэвтрүүлэх ч хэрэгтэй бөгөөд зөвхөн IPv6 бүхий хандалтын зам ямар ч тохиргоонд PPTP зөөж чадахгүй.
IPsec дээрх L2TP нь IKE-д 500 портыг, NAT-ыг давахад 4500 портыг зарцуулж, дараа нь L2TP урсгалыг өөрөө 1701-д ороож, холбоос бий болсны дараа ESP хамгаалагдсан ачааг зөөнө. Хоёр удирдлагын портыг зөвшөөрч, ESP-г зөвшөөрөхгүй бол та яг гарчигт байгаа шинж тэмдгийг авна: харагдахуйц ахиц, дараа нь нэвтрэх мэдээллийн ямар ч харилцан ярианаас өмнө үхсэн клиент. Гар утасны хотспотоос турших нь клиентийн асуудлыг замын асуудлаас ялгах хямд арга юм.
Хоёр дахь үе шат: түлхүүр биш түлхүүр, санал болгоогүй санал
Тохирохгүй урьдчилан хуваалцсан түлхүүр хурдан бөгөөд чимээгүй бүтэлгүйтдэг бөгөөд ердийн хэлбэр нь дэлгэц дээр зөв харагдах боловч наасан мөр таслалт эсвэл төгсгөлд нь зай агуулсан түлхүүр юм. Linux клиент дээр харилцан яриа заавал үнэний эх сурвалж биш: NetworkManager-ийн L2TP залгуур нууцуудыг /etc/ipsec.d/ доорх файлуудад хадгалдаг бөгөөд /etc/ipsec.secrets одоо ч оруулдаг хуучин холболт тус бүрийн файл таны саяхан бичсэний оронд хэрэглэгдэнэ. Тэр файлыг аюулгүй газар хуулж, оруулах замаас гаргаад, дараа нь түлхүүрийг гараар дахин бичнэ үү.
Энэ үе шатын нөгөө хагас нь санал юм. Хоёр тал ижил 1-р фазын алгоритмын багц — шифрлэлт, бүрэн бүтэн байдал, Diffie-Hellman бүлэг — болон 2-р фазын тохирох ESP хувиргалтууд дээр санал нэгдэх ёстой, эс бөгөөс холбоос огт үүсэхгүй. Зөвхөн 3DES, SHA1, MODP1024 санал болгодог гарц илүү хүчтэй алгоритмд тохируулсан клиентийг татгалзах бөгөөд түүний лог татгалзсан хувиргалтыг нэрлэнэ. Үйлчилгээг дахин эхлүүлэхийн оронд логыг уншвал лог өөрөө зөрүүг нэрлэнэ. Форум сэдвээс алгоритмын мөрийг хуулахын оронд гарцаас тэр үнэхээр ямар хувиргалтуудын талаар хэлэлцэхийг асуугаарай: түүний хаяг руу чиглүүлсэн ike-scan хэлэлцэх хувиргалтуудыг буцаана. Хэрэв цорын ганц санал таны бодлогоос хойшид зөвшөөрөхгүй криптограф бол засвар нь клиентийг буулгахдаа биш, гарцад хамаарна.
Windows дээр түлхүүр болон баталгаажуулалтын арга нь VPN профайлд амьдардаг бөгөөд зөрүү нь нэвтрэх мэдээллийн асуултаас өмнө, дараа нь биш илэрдэг. Хүлээн авагч нь Windows Server бол алсын хандалтын үүрэг суулгагдсан, гэрчилгээ нь клиентүүд холбогддог нэртэй тохирч, ямар ч портын шүүлтүүр дээрх протоколуудаас нарийн биш гэдгийг баталгаажуулна уу.
Гурав дахь үе шат: туннель байгаа ч PPP эхлэхгүй
IKE дууссаны дараа ч асуулт гарч ирэхгүй бол галт ханыг биш туннелийн демоныг харна уу. L2TP-д UDP 1701 дээр сонсдог зүйл хэрэгтэй — Linux дээр xl2tpd эсвэл kl2tpd, Windows дээр алсын хандалтын үйлчилгээ — суулгасан боловч зогсоосон үйлчилгээ клиентийн талаас хаягдсан пакеттай яг адил харагдана. Өмнө нь шалгасан дүрмүүдийг дахин нээхээс өмнө сонсогчийг шалгана уу. Дараа нь PPP хэлэлцээр хийх ёстой бөгөөд эхний LCP солилцоо нь чимээгүй бүтэлгүйтэл ихэвчлэн буудаг газар юм.
Энэ үе шатын нэг урхи огт сүлжээний алдаа биш: Windows тухайн VPN төрлийн зөвхөн нэг холболтыг нэгэн зэрэг зөвшөөрдөг тул хоёр дахь оролдлого 937 алдааг буцаана, «энэ төрлийн өөр холболт ашиглагдаж байна». Энэ нь орон нутгийн дүрэм бөгөөд түүнийг тойрох зам нь өөр төхөөрөмж, өөр туннелийн төрөл эсвэл аль хэдийн байгаа цорын ганц холболтыг хуваалцах явдал юм.
Таамаглахын оронд үе шатуудын дарааллаар логыг уншина уу
Клиентийг зогсоож, дахин эхлүүлээд, бүрэлдэхүүн хэсгүүдийг тэдний лог бичих дарааллаар уншина уу. Өөрөөр хэлбэл эхлээд IPsec демон — strongSwan эсвэл Libreswan, аль нь болохыг ipsec --version хэлнэ — дараа нь L2TP демон, дараа нь pppd. Алдаанаас өмнө хамгийн сүүлд бичсэн бүрэлдэхүүн нь шалгах үе шатыг тэмдэглэдэг, учир нь дараалалд түүний дараа ирэх бүхэн огт ажиллаагүй.
Хадгалсан сессээр биш шинэ холболтоор баталгаажуулна уу, учир нь кэшээс дахин холбогдсон клиент солилцооны хэсгүүдийг алгасаж, хуучирсан үр дүнг давтаж болно. Хүрэх боломж, түлхүүр солилцоо, туннель, PPP-г нэг нэгээр, тэр дарааллаар баталгаажуулна уу. Тэгвэл дутуу асуулт нууцлаг байхаа болиод, үнэхээр ажиллаж болох жагсаалтын хоёр дахь мөр болно. Тэр жагсаалтыг сүлжээний багт өгнө, эс бөгөөс ажиллаагүй демонд амьдардаг алдааны улмаас галт ханыг шалгуулах байсан.