Żball 789 tal-L2TP/IPsec fuq Windows: ibni l-profil u waħħal il-proposta

L-iżball 789 fuq konnessjoni L2TP tal-Windows ifisser li t-tunnel miet ġewwa l-iskambju tas-sigurtà tal-IPsec, li jiġri ħafna qabel ma l-Windows jibgħat password tal-utent imkien. Li terġa’ tipprova l-password, jew terġa’ tissettjaha fid-direttorju, ma tistax tmexxi dak l-istadju ’l quddiem. Li jmexxih ’il quddiem huwa li terġa’ tibni l-konnessjoni mill-PowerShell bil-proposta li l-gateway fil-fatt joffri, għax il-wizard tas-Settings jagħżel it-trasformazzjonijiet tal-IPsec fis-skiet u qatt ma jurik x’għażel. Dan huwa l-manwal għal dan: ibni l-profil, waħħal il-proposta, u mbagħad uża tabella tal-istadji sabiex il-kodiċi li jmiss jgħidlek xi ħaġa.

Ibni l-profil mingħajr il-wizard

Add-VpnConnection jikteb entrata nattiva tal-ktieb tat-telefon, għalhekk ir-riżultat huwa l-istess oġġett li l-app tas-Settings teditja aktar tard. Mexxiha minn sessjoni elevata meta l-konnessjoni għandha teżisti għal kull kont fuq il-magna, jew mill-kuntest tal-utent meta għandha tibqa’ privata:

Add-VpnConnection -Name "Contoso L2TP" `
  -ServerAddress 203.0.113.10 `
  -TunnelType L2tp `
  -EncryptionLevel Required `
  -AuthenticationMethod MSChapv2 `
  -RememberCredential -Force

Qabbel -AuthenticationMethod ma’ dak li joffri l-gateway. MSChapv2, EAP u PAP mhumiex interkambjabbli, u profil li jitlob metodu li s-server mhux se jaċċetta jonqos qabel ma tiġi kkonsultata xi rekord tal-utent. Żomm -EncryptionLevel Required għal kull ħaġa vera; Optional iħalli lill-Windows jaċċetta tunnel mhux encrypted jekk il-pari joffri wieħed, li huwa shortcut tal-laboratorju u mhux setting x’tibgħat.

Jekk tgħaddi -L2tpPsk, dik il-key kondiviża minn qabel tinkiteb fil-profil fuq id-diska, minn fejn kulħadd li jista’ jaqra l-profil fuq dik il-magna jista’ jirkupraha. Uża ċertifikat għall-awtentikazzjoni tal-pari meta l-gateway jappoġġjah, u meta PSK tkun inevitabbli, żommha barra mir-repożitorju u barra mill-istorja tal-shell minflok ma tpastejha f’kull esekuzzjoni tal-provvista.

Waħħal il-proposta minflok ma taċċetta l-valuri awtomatiċi

Il-Windows jimla t-trasformazzjonijiet tal-IPsec hu stess, u għalhekk żewġ magni b’konnessjoni li tidher identika jistgħu jonqsu b’mod differenti kontra l-istess gateway. Set-VpnConnectionIPsecConfiguration huwa l-mod appoġġjat kif twaħħalhom:

Set-VpnConnectionIPsecConfiguration -ConnectionName "Contoso L2TP" `
  -AuthenticationTransformConstants SHA256128 `
  -CipherTransformConstants AES128 `
  -EncryptionMethod AES128 `
  -IntegrityCheckMethod SHA256 `
  -DHGroup Group14 `
  -PfsGroup None `
  -PassThru -Force

Dak is-sett huwa arranġament L2TP/IPsec komuni wieħed, mhux tweġiba universali. Kull parametru jaċċetta lista fissa ta’ valuri, u kombinazzjoni li l-pjattaforma ma tistax timmappa tiġi lura bħala żball tas-cmdlet minflok profil imdgħajjef fis-skiet. Ikkunsidra żball bħal dan bħala dikjarazzjoni dwar il-valuri, mhux dwar il-permessi tiegħek.

Ikkopja l-proposta mid-dokumentazzjoni tal-gateway jew mis-settings ħajjin tal-fażi 1 u l-fażi 2 tiegħu, u biddel qasam wieħed kull darba biss waqt li l-gateway ikun qed jirreġistra t-trasformazzjonijiet li jirrifjuta. Li tgħaddi minn ħames oqsma tipproduċi konnessjoni li taħdem b’inċident u rekord li ma jispjega xejn lill-persuna li jmiss.

Aqra l-falliment bl-istadju, mhux bit-test tal-iżball

789 jappartjeni għal familja ta’ kodiċijiet li kollha jidhru l-istess fid-djalogu tal-klijent. Qiegħed il-kodiċi quddiem l-istadju li jappartjeni għalih qabel ma terġa’ tmiss il-profil:

Hawnhekk huma importanti ż-żewġ rwoli tal-kredenzjali. Key kondiviża minn qabel jew ċertifikat jawtentika lill-pari ma’ xulxin, filwaqt li MSChapv2 jew EAP jawtentikak ġewwa t-tunnel. Li terġa’ tissettja password tal-utent ma tistax tiffissa tal-ewwel, sigriet komuni ġdid ma jistax jiffissa tat-tieni, u li tbiddel it-tnejn f’daqqa teqred l-evidenza ta’ liema kien żbaljat.

Fil-passaġġ taċ-ċertifikat, iċċekkja l-arloġġ tal-klijent, il-katina tal-fiduċja u l-identità li l-gateway jistenna qabel ma tikkunsidra li tħoll il-validazzjoni. Li tiddiżattiva l-validazzjoni tbiddel 789 viżibbli f’tunnel li jgħaqqad filwaqt li jafda lill-pari żbaljat, u xejn fil-klijent mhu se jgħidlek li dan ġara. lista tal-iżbalji tal-aċċess mill-bogħod tal-Microsoft hija r-referenza għall-kodiċijiet infushom, u tifred il-fallimenti tas-saff tas-sigurtà mill-fallimenti tal-login.

Ivverifika miż-żewġ trufijiet qabel ma tgħid li ġie ffissat

Aqra l-profil lura, imma tistenna l-proposta fl-output. Get-VpnConnection jirrapporta l-isem, l-indirizz tas-server, it-tip ta’ tunnel, il-livell ta’ encryption u l-metodu ta’ awtentikazzjoni, u ma jafx xejn dwar it-trasformazzjonijiet, għalhekk il-qari mill-ġdid jikkonferma li l-entrata teżisti u tipponta lejn il-host it-tajjeb:

Get-VpnConnection -Name "Contoso L2TP" |
  Select-Object Name, ServerAddress, TunnelType, EncryptionLevel, AuthenticationMethod

Ċempel mill-linja tal-kmand biex tikseb numru minflok djalogu: rasdial "Contoso L2TP" jirritorna l-istess kodiċi tal-falliment li kien jirritorna l-interface, u rasdial "Contoso L2TP" /disconnect jnaddfu bejn il-provi. Imbagħad aqra n-naħa tal-gateway għall-istess prova. ipsec statusall tal-strongSwan jew log tal-IKE tar-router jgħid liema proposta waslet u liema ġiet rifjutata, u li tqabbel dan mal-valuri tas-cmdlet huwa l-uniku pass li tabilħaqq jipprova li ż-żewġ trufijiet qablu.

Konnessjoni b’suċċess mhix il-linja tal-finitura. Iftaħ l-app li tinteressa lill-utent, għax ir-rotot, id-DNS imbuttat u s-settings tat-tunnel maqsum jonqsu wara li t-tunnel jogħla u ma jipproduċu xejn djalogu tal-iżball.

Awtomatizzaha, u rritorna lura b’mod nadif

L-istallazzjoni mingħajr sorveljanza hija r-raġuni biex dan jiġi skriptjat, u l-pass taċ-ċempel huwa fejn il-kredenzjali jnixxu. rasdial jieħuhom fil-linja tal-kmand tiegħu, fejn utenti lokali oħra u l-biċċa l-kbira tal-ġemmiegħa tal-logs jistgħu jaqrawhom:

subprocess.run(["rasdial", "Contoso L2TP"], check=True)

Ippreferi kredenzjali limitata għall-kont li jmexxi x-xogħol, jew ħalli l-profil jaħżinha bil--RememberCredential, minflok ma tgħaddi password bħala argument f’kompitu skedat. Il-kmandi tal-provvista nfushom huma siguri li jiġu ripetuti bil--Force, imma se jgħattu bi pjaċir proposta antika, għalhekk esekuzzjoni mill-ġdid tgħin biss jekk l-iskritt ikollu l-valuri attwali.

Il-profili jibqgħu għaddejjin mir-restarts u jgħixu aktar mill-konfigurazzjoni tal-gateway li għaliha nbnew. Meta l-proposta tal-gateway tiċċaqlaq, neħħi l-entrata u erġa’ oħloqha minflok ma tpoġġi t-tieni sett ta’ valuri fuqha: Remove-VpnConnection -Name "Contoso L2TP" -Force, imbagħad irrepeti ż-żewġ cmdlets mas-sett il-ġdid.

Agħlaq iċ-ċiklu b’erba’ verifiki li jgħixu ħdejn l-iskritt: Get-VpnConnection juri t-tip ta’ tunnel u l-livell ta’ encryption mistennija; il-gateway jirreġistra fażi 1 u fażi 2 kompluti għall-indirizz tal-klijent tiegħek; rasdial jirritorna suċċess u l-app tinfetaħ; u l-proposta mniżżla fl-iskritt taqbel mas-setting attwali tal-gateway. Meta jiġi 789 li jmiss, dik il-paragun idum minuti minflok wara nofsinhar.