Għaliex PPTP u L2TP/IPsec jieqfu qabel il-mistoqsija tal-isem tal-utent?

L-ebda mistoqsija tal-isem tal-utent hija rigal dijanjostiku: PPP għadu ma bediex, għalhekk il-kont, il-password u l-politika tad-dominju għadhom ma ġewx mistoqsija. F'konnessjoni PPTP jew L2TP/IPsec il-klijent jitlob il-kredenzjali biss wara li t-tunnel jeżisti u s-server ikun beda sessjoni PPP. Kull ħaġa li tista' tfalli qabel dak il-mument hija trasport, skambju taċ-ċwievet jew preparazzjoni tat-tunnel, li hija wiċċ ferm iżgħar minn «il-VPN hija miksura».

Mistoqsija nieqsa tillimita l-ħsara għal tliet fażijiet

Ikteb l-aħħar fażi li rnexxiet b'mod viżibbli, għax kull waħda għandha sid differenti u soluzzjoni differenti. Li taqta' x'inhuma s-settings tal-kont waqt li inti mwaħħal żewġ fażijiet qabel huwa kif tisparixxi wara nofsinhar.

Klijent li jiskadi mingħajr mistoqsija qatt ma kiseb assoċjazzjoni IPsec, għalhekk il-ħsara tinsab fl-IKE jew f'jekk il-pakketti tiegħek jaslux sal-gateway. Dak li jirrapporta li qed jivverifika l-kredenzjali u mbagħad jaqa' mar aktar 'il bogħod milli jissuġġerixxi l-messaġġ. Mistoqsija segwita minn rifjut hija awtentikazzjoni PPP, u dik tappartjeni għal artiklu dwar il-kont, mhux dan.

L-ewwel fażi: il-protokoll li firewall iwaddab bilkwiet

PPTP jeħtieġ TCP 1723 għall-kanal ta' kontroll tiegħu u protokoll IP 47 għall-mogħdija tad-data, u t-tnejn jivvjaġġaw separatament. Ħafna netwerks jgħaddu 1723 u jwaddbu l-protokoll 47, li jipproduċi tunnel li jinnegozja u mbagħad ma jġorr xejn. Router li jagħmel NAT jeħtieġ ukoll passaġġ b'appoġġ GRE, u mogħdija ta' aċċess b'IPv6 biss ma tistax iġġorr PPTP f'ebda konfigurazzjoni.

L2TP fuq IPsec jonfoq il-port 500 għall-IKE u l-port 4500 għall-qsim tan-NAT, imbagħad jgħatti t-traffiku L2TP innifsu fi 1701, filwaqt li ESP iġorr it-tagħbija protetta ladarba l-assoċjazzjoni teżisti. Ħalli ż-żewġ ports ta' kontroll imma mhux ESP, u tikseb eżatt is-sintomu fit-titlu: progress viżibbli, imbagħad klijent mejjet qabel kull djalogu tal-kredenzjali. L-ittestjar minn hotspot tat-telefon hija mod irħis biex tifred problema tal-klijent minn problema tal-mogħdija.

It-tieni fażi: ċavetta li mhijiex iċ-ċavetta, proposta li ma tiġix offruta

Ċavetta maqsuma minn qabel li ma taqbilx tfalli malajr u bilkwiet, u l-verżjoni tas-soltu hija ċavetta li tidher tajba fuq l-iskrin waqt li ġġorr tixrif tal-linja mgħaffeġ jew spazju fl-aħħar. Fuq klijent Linux id-djalogu mhux bilfors huwa s-sors tal-verità: il-plugin L2TP ta' NetworkManager iżomm sigrieti f'fajls taħt /etc/ipsec.d/, u fajl antik għal kull konnessjoni li /etc/ipsec.secrets għadu jinkludi se jintuża minflok dak li għadek kemm ittajpjajt. Ikkopja dak il-fajl f'post sigur, oħorġu mill-mogħdija tal-inklussjoni, u mbagħad erġa' ittajpja ċ-ċavetta bl-idejn.

In-nofs l-ieħor ta' din il-fażi hija l-proposta. Iż-żewġ trufijiet iridu jaqblu fuq l-istess sett ta' algoritmi tal-fażi 1 — encryption, integrità u grupp Diffie-Hellman — u fuq trasformazzjonijiet ESP li jaqblu għall-fażi 2, inkella l-assoċjazzjoni ma tifformax xejn. Gateway li joffri biss 3DES, SHA1 u MODP1024 se jirrifjuta klijent konfigurat għal algoritmi aktar b'saħħithom, u l-log tiegħu jsemmi t-trasformazzjoni miċħuda. Il-log jsemmi n-nuqqas ta' qbil jekk taqrah minflok terġa' tibda s-servizz għal darb'oħra. Minflok ma tikkopja sensiela ta' algoritmi minn ħajta tal-forum, staqsi lill-gateway liema trasformazzjonijiet se jinnegozja tassew: ike-scan indirizzat lejn l-indirizz tiegħu jirritorna t-trasformazzjonijiet li se jinnegozja. Jekk l-unika offerta hija kriptografija li l-politika tiegħek m'għadhiex tippermetti, il-korrezzjoni tappartjeni lill-gateway, mhux għat-tnaqqis tal-klijent.

Fuq Windows iċ-ċavetta u l-metodu ta' awtentikazzjoni jgħixu fil-profil tal-VPN, u nuqqas ta' qbil jidher qabel il-mistoqsija tal-kredenzjali u mhux warajha. Fejn ir-riċevitur huwa Windows Server, ikkonferma li r-rwol tal-aċċess mill-bogħod huwa installat, li ċ-ċertifikat jaqbel man-numru li miegħu jikkonnettjaw il-klijenti, u li l-ebda filtru tal-ports mhuwiex idjaq mill-protokolli hawn fuq.

It-tielet fażi: it-tunnel jeżisti u PPP qatt ma jibda

Meta l-IKE jitlesta u l-mistoqsija xorta ma tidhirx, ħares lejn id-daemon tat-tunnel u mhux lejn il-firewall. L2TP jeħtieġ xi ħaġa li tisma' fuq UDP 1701 — xl2tpd jew kl2tpd fuq Linux, is-servizz tal-aċċess mill-bogħod fuq Windows — u servizz installat imma mwaqqaf jidher min-naħa tal-klijent eżattament bħal pakkett imwaddab. Ivverifika s-semmiegħa qabel ma terġa' tiftaħ regoli li diġà vverifikajt. Imbagħad PPP irid jinnegozja, u l-ewwel skambju LCP huwa fejn tipikament jinżel falliment sieket.

Nassa waħda f'din il-fażi mhijiex ħsara tan-netwerk xejn: Windows tippermetti konnessjoni waħda biss ta' tip partikolari ta' VPN fi żmien wieħed, għalhekk it-tieni attentat jirritorna l-iżball 937, «konnessjoni oħra ta' dan it-tip qed tintuża». Din hija regola lokali, u l-mod kif tevitàha huwa apparat ieħor, tip ieħor ta' tunnel, jew il-kondiviżjoni tal-unika konnessjoni li diġà teżisti.

Aqra l-log fl-ordni tal-fażijiet minflok ma taqta' x'inhuma

Waqqaf il-klijent, erġa' ibdih, u aqra l-komponenti fl-ordni li bih jiktbu l-log. Jiġifieri l-ewwel id-daemon tal-IPsec — strongSwan jew Libreswan, u ipsec --version jgħidlek liema — imbagħad id-daemon tal-L2TP, imbagħad pppd. Liema komponent kiteb l-aħħar qabel il-falliment huwa dak li jimmarka l-fażi li trid tiġi investigata, għax kull ma jiġi warajh fis-sekwenza ma damx ħabta u sabta lanqas.

Ivverifika b'konnessjoni friska u mhux b'sessjoni salvata, għax klijent li jerġa' jikkonnettja mill-cache jista' jaqbeż partijiet tal-iskambju u jirriproduċi riżultat antik. Ikkonferma l-aċċessibilità, l-iskambju taċ-ċwievet, it-tunnel u l-PPP wieħed wieħed, f'dik l-ordni. Imbagħad il-mistoqsija nieqsa tieqaf tkun misteru u ssir it-tieni linja ta' lista li tassew tista' taħdem magħha. Dik il-lista hija wkoll dak li tagħti lit-tim tan-netwerk, li inkella jiġi mitlub jivverifika l-firewall għal ħsara li tgħix f'daemon li ma tqabbadx.