Windows वर L2TP/IPsec त्रुटी 789: प्रोफाइल तयार करा आणि प्रस्ताव पिन करा
त्रुटी 789 IPsec देवाणघेवाणीत अयशस्वी होते, पासवर्डमध्ये नाही. L2TP प्रोफाइल स्क्रिप्ट करा, प्रस्ताव पिन करा आणि पुढील कोड टप्प्यानुसार वाचा.
Windows वरील L2TP कनेक्शनवरील त्रुटी 789 चा अर्थ टनेल IPsec सुरक्षा देवाणघेवाणीच्या आत मेले आहे, हे Windows कुठेही वापरकर्त्याचा पासवर्ड पाठवण्याच्या खूप आधी घडते। पासवर्ड पुन्हा प्रयत्न करणे, किंवा डिरेक्टरीमध्ये तो रीसेट करणे, तो टप्पा पुढे नेऊ शकत नाही। तो पुढे नेणारी गोष्ट म्हणजे कनेक्शन PowerShell वरून गेटवे खरोखर देऊ करत असलेल्या प्रस्तावासह पुन्हा तयार करणे, कारण सेटिंग्ज विझार्ड IPsec रूपांतरणे शांतपणे निवडते आणि काय निवडले हे तुम्हाला कधीही दाखवत नाही। हे त्यासाठीचे मार्गदर्शक आहे: प्रोफाइल तयार करा, प्रस्ताव पिन करा, नंतर टप्पा तक्ता वापरा जेणेकरून पुढील कोड तुम्हाला काहीतरी सांगेल।
विझार्डशिवाय प्रोफाइल तयार करा
Add-VpnConnection स्थानिक फोन-बुक नोंद लिहिते, त्यामुळे निकाल सेटिंग्ज ॲप नंतर संपादित करणारी तीच वस्तू असते। कनेक्शन मशीनवरील प्रत्येक खात्यासाठी असावे लागत असेल तर ते उन्नत सत्रातून, किंवा ते खाजगी राहावे लागत असेल तर वापरकर्ता संदर्भातून चालवा:
Add-VpnConnection -Name "Contoso L2TP" `
-ServerAddress 203.0.113.10 `
-TunnelType L2tp `
-EncryptionLevel Required `
-AuthenticationMethod MSChapv2 `
-RememberCredential -Forceगेटवे जे देऊ करते त्याशी -AuthenticationMethod जुळवा। MSChapv2, EAP आणि PAP परस्पर बदलण्यायोग्य नाहीत, आणि सर्व्हर स्वीकारणार नाही अशी पद्धत मागणारे प्रोफाइल कोणत्याही वापरकर्ता नोंदीकडे पाहण्यापूर्वीच अयशस्वी होते। कोणत्याही खऱ्या गोष्टीसाठी -EncryptionLevel Required ठेवा; Optional Windows ला समोरील बाजू एक देऊ केल्यास एन्क्रिप्शन नसलेले टनेल स्वीकारू देते, हा प्रयोगशाळेचा शॉर्टकट आहे, पाठवण्याची सेटिंग नाही।
तुम्ही -L2tpPsk दिल्यास, ती पूर्व-सामायिक केलेली की डिस्कवरील प्रोफाइलमध्ये लिहिली जाते, तिथून त्या मशीनवर प्रोफाइल वाचू शकणारा कोणीही ती पुनर्प्राप्त करू शकतो। गेटवे समर्थन देत असल्यास समोरील बाजूच्या प्रमाणीकरणासाठी प्रमाणपत्र वापरा, आणि PSK अटळ असल्यास ती प्रत्येक प्रोव्हिजनिंग रनमध्ये चिकटवण्याऐवजी रेपॉझिटरी आणि शेल इतिहासाबाहेर ठेवा।
डीफॉल्ट स्वीकारण्याऐवजी प्रस्ताव पिन करा
Windows स्वतः IPsec रूपांतरणे भरते, म्हणूनच सारखेच दिसणारे कनेक्शन असलेली दोन मशीन्स एकाच गेटवेविरुद्ध वेगळ्या प्रकारे अयशस्वी होऊ शकतात। Set-VpnConnectionIPsecConfiguration त्यांना पिन करण्याचा समर्थित मार्ग आहे:
Set-VpnConnectionIPsecConfiguration -ConnectionName "Contoso L2TP" `
-AuthenticationTransformConstants SHA256128 `
-CipherTransformConstants AES128 `
-EncryptionMethod AES128 `
-IntegrityCheckMethod SHA256 `
-DHGroup Group14 `
-PfsGroup None `
-PassThru -Forceती संच एक सामान्य L2TP/IPsec मांडणी आहे, सार्वत्रिक उत्तर नाही। प्रत्येक पॅरामीटर मूल्यांची निश्चित यादी स्वीकारतो, आणि प्लॅटफॉर्म मॅप करू शकत नाही असे संयोजन शांतपणे कमकुवत झालेल्या प्रोफाइलऐवजी cmdlet त्रुटी म्हणून परत येते। अशा त्रुटीला मूल्यांबद्दलचे विधान समजा, तुमच्या परवानग्यांबद्दल नाही।
गेटवेच्या दस्तऐवजातून किंवा त्याच्या थेट टप्पा 1 आणि टप्पा 2 सेटिंग्जमधून प्रस्ताव कॉपी करा, आणि गेटवे नाकारलेली रूपांतरणे लॉग करत असतानाच एका वेळी एकच फील्ड बदला। पाच फील्डमधून फिरणे योगायोगाने चालणारे कनेक्शन आणि पुढच्या व्यक्तीला काहीही न समजावणारी नोंद तयार करते।
अयशस्वीता त्रुटी मजकुरानुसार नाही, टप्प्यानुसार वाचा
789 क्लायंट संवादात सर्व सारखेच दिसणाऱ्या कोडांच्या कुटुंबात मोडते। प्रोफाइलला पुन्हा स्पर्श करण्यापूर्वी कोड तो ज्या टप्प्याचा आहे त्याच्यासमोर ठेवा:
| What you see | Stage that failed | Check first |
|---|---|---|
| Nothing happens, then a timeout | No IKE response at all | Server address, UDP 500 and 4500 reachability, NAT traversal on the gateway |
| Error 789 | IKE security exchange | Proposal, pre-shared key, certificate trust and client clock |
| Error 691 or a repeated password prompt | User authentication | Account state, domain, RADIUS or NPS policy |
| Tunnel up, some hosts unreachable | Routing or DNS after PPP | Split-tunnel routes, pushed DNS, remote subnet mask |
येथे क्रेडेन्शियल्सच्या दोन भूमिका महत्त्वाच्या आहेत। पूर्व-सामायिक केलेली की किंवा प्रमाणपत्र बाजूंचे एकमेकांशी प्रमाणीकरण करते, तर MSChapv2 किंवा EAP तुमचे टनेलच्या आत प्रमाणीकरण करते। वापरकर्त्याचा पासवर्ड रीसेट करणे पहिले सुधारू शकत नाही, नवीन सामायिक रहस्य दुसरे सुधारू शकत नाही, आणि दोन्ही एकत्र बदलल्यास कोणते चुकीचे होते याचा पुरावा नष्ट होतो।
प्रमाणपत्राच्या मार्गावर, प्रमाणीकरण सैल करण्याचा विचार करण्यापूर्वी क्लायंटचे घड्याळ, विश्वासाची साखळी आणि गेटवे अपेक्षित असलेली ओळख तपासा। प्रमाणीकरण बंद केल्यास दिसणारी 789 चुकीच्या बाजूवर विश्वास ठेवून जोडणाऱ्या टनेलमध्ये बदलते, आणि क्लायंटमध्ये काहीही असे घडले हे तुम्हाला सांगणार नाही। Microsoft ची दूरस्थ प्रवेश त्रुटींची यादी स्वतः कोडांसाठी संदर्भ आहे, आणि ती सुरक्षा-स्तरातील अयशस्वीता लॉगिन अयशस्वीतेपासून वेगळी करते।
दुरुस्त झाले असे म्हणण्यापूर्वी दोन्ही टोकांकडून पडताळणी करा
प्रोफाइल परत वाचा, परंतु आउटपुटमध्ये प्रस्तावाची अपेक्षा करू नका। Get-VpnConnection नाव, सर्व्हर पत्ता, टनेल प्रकार, एन्क्रिप्शन पातळी आणि प्रमाणीकरण पद्धत नोंदवते, आणि रूपांतरणांबद्दल काहीही जाणत नाही, त्यामुळे वाचन नोंद अस्तित्वात आहे आणि योग्य होस्टकडे निर्देश करते याची खात्री देते:
Get-VpnConnection -Name "Contoso L2TP" |
Select-Object Name, ServerAddress, TunnelType, EncryptionLevel, AuthenticationMethodसंवादाऐवजी क्रमांक मिळवण्यासाठी आदेश ओळीवरून डायल करा: rasdial "Contoso L2TP" इंटरफेस देईल तोच अयशस्वीता कोड देते, आणि rasdial "Contoso L2TP" /disconnect प्रयत्नांमध्ये तो पुसून टाकते। नंतर त्याच प्रयत्नासाठी गेटवेची बाजू वाचा। strongSwan चे ipsec statusall किंवा राउटरचा IKE लॉग कोणता प्रस्ताव आला आणि कोणता नाकारला गेला हे सांगतो, आणि त्याची cmdlet मूल्यांशी तुलना करणे हे दोन्ही टोके सहमत झाली हे खरोखर सिद्ध करणारे एकमेव पाठ आहे।
यशस्वी कनेक्शन ही अंतिम रेषा नाही। वापरकर्त्यासाठी महत्त्वाचे असलेले ॲप उघडा, कारण मार्ग, ढकललेला DNS आणि स्प्लिट-टनेल सेटिंग्ज टनेल वर आल्यानंतर अयशस्वी होतात आणि त्रुटी संवाद अजिबात देत नाहीत।
हे स्वयंचलित करा, आणि स्वच्छपणे परत जा
देखरेख नसलेली स्थापना हेच हे स्क्रिप्ट करण्याचे कारण आहे, आणि डायल टप्पा म्हणजे क्रेडेन्शियल्स गळतीचे ठिकाण। rasdial ती त्याच्या आदेश ओळीवर घेते, जिथे इतर स्थानिक वापरकर्ते आणि बहुतेक लॉग संग्राहक ती वाचू शकतात:
subprocess.run(["rasdial", "Contoso L2TP"], check=True)काम चालवणाऱ्या खात्यापुरती मर्यादित क्रेडेन्शियलला प्राधान्य द्या, किंवा नियोजित कार्यात पासवर्ड हा युक्तिवाद म्हणून देण्याऐवजी प्रोफाइलला -RememberCredential ने तो साठवू द्या। प्रोव्हिजनिंग आदेश स्वतः -Force ने पुनरावृत्ती करण्यास सुरक्षित आहेत, परंतु ते जुना प्रस्ताव आनंदाने वर लिहितील, त्यामुळे पुन्हा चालवणे केवळ स्क्रिप्ट सध्याची मूल्ये बाळगत असेल तरच उपयोगी पडते।
प्रोफाइल पुनः सुरुवातीत टिकतात आणि ज्या गेटवे कॉन्फिगरेशनसाठी तयार केली होती त्यापेक्षा जास्त जगतात। गेटवेचा प्रस्ताव सरकल्यावर, मूल्यांचा दुसरा संच वर चढवण्याऐवजी नोंद काढून टाका आणि ती पुन्हा तयार करा: Remove-VpnConnection -Name "Contoso L2TP" -Force, नंतर नवीन संचासह दोन्ही cmdlet पुन्हा करा।
स्क्रिप्टजवळ राहणाऱ्या चार तपासण्यांनी लूप बंद करा: Get-VpnConnection अपेक्षित टनेल प्रकार आणि एन्क्रिप्शन पातळी दाखवते; गेटवे तुमच्या क्लायंट पत्त्यासाठी पूर्ण झालेला टप्पा 1 आणि टप्पा 2 नोंदवते; rasdial यश देते आणि ॲप उघडते; आणि स्क्रिप्टमध्ये नोंदवलेला प्रस्ताव सध्याच्या गेटवे सेटिंगशी जुळतो। पुढील 789 आल्यावर ती तुलना दुपारऐवजी काही मिनिटांत होते।