Windows मा L2TP/IPsec त्रुटि 789: प्रोफाइल बनाउनुहोस् र प्रस्ताव पिन गर्नुहोस्
त्रुटि 789 IPsec आदानप्रदानमा असफल हुन्छ, पासवर्डमा होइन। L2TP प्रोफाइल स्क्रिप्ट गर्नुहोस्, प्रस्ताव पिन गर्नुहोस् र पछिका कोडहरू चरणअनुसार पढ्नुहोस्।
Windows को L2TP जडानमा त्रुटि 789 भन्नाले टनेल IPsec सुरक्षा आदानप्रदानभित्र मर्यो भन्ने बुझिन्छ, जुन Windows ले कतै पनि प्रयोगकर्ताको पासवर्ड पठाउनु धेरै अघि हुन्छ। पासवर्ड फेरि प्रयास गर्नु, वा डाइरेक्टरीमा रिसेट गर्नु, त्यो चरण अगाडि बढाउन सक्दैन। यसलाई अगाडि बढाउने कुरा भनेको PowerShell बाट जडानलाई गेटवेले साँच्चै दिने प्रस्तावसँग पुनः निर्माण गर्नु हो, किनकि सेटिङ्स विजार्डले IPsec रूपान्तरणहरू चुपचाप छान्छ र के छान्यो कहिल्यै देखाउँदैन। यो त्यसैको लागि मार्गदर्शन हो: प्रोफाइल बनाउनुहोस्, प्रस्ताव पिन गर्नुहोस्, त्यसपछि चरण तालिका प्रयोग गर्नुहोस् ताकि अर्को कोडले तपाईंलाई केही भनोस्।
विजार्ड बिना प्रोफाइल बनाउनुहोस्
Add-VpnConnection एउटा मूल फोन-बुक प्रविष्टि लेख्छ, त्यसैले नतिजा सेटिङ्स एपले पछि सम्पादन गर्ने त्यही वस्तु हो। जडान मेसिनको हरेक खाताका लागि हुनुपर्ने भए उन्नत सत्रबाट, वा निजी रहनुपर्ने भए प्रयोगकर्ता सन्दर्भबाट चलाउनुहोस्:
Add-VpnConnection -Name "Contoso L2TP" `
-ServerAddress 203.0.113.10 `
-TunnelType L2tp `
-EncryptionLevel Required `
-AuthenticationMethod MSChapv2 `
-RememberCredential -Forceगेटवेले दिनेसँग -AuthenticationMethod मिलाउनुहोस्। MSChapv2, EAP र PAP परस्पर परिवर्तनयोग्य छैनन्, र सर्भरले स्वीकार नगर्ने विधि माग्ने प्रोफाइल कुनै पनि प्रयोगकर्ता रेकर्ड हेर्नु अघि नै असफल हुन्छ। कुनै पनि वास्तविक कुराका लागि -EncryptionLevel Required राख्नुहोस्; Optional ले Windows लाई एन्क्रिप्शन नभएको टनेल स्वीकार्न दिन्छ यदि सामुको पक्षले एक दिन्छ, जुन प्रयोगशालाको छोटो बाटो हो, पठाउने सेटिङ होइन।
यदि तपाईं -L2tpPsk दिनुहुन्छ भने, त्यो पहिले साझा गरिएको कुञ्जी डिस्कको प्रोफाइलमा लेखिन्छ, जहाँबाट त्यो मेसिनमा प्रोफाइल पढ्न सक्ने जो कोहीले पनि पुनःप्राप्त गर्न सक्छ। गेटवेले समर्थन गर्दा सामुको पक्षको प्रमाणीकरणका लागि प्रमाणपत्र प्रयोग गर्नुहोस्, र PSK अपरिहार्य हुँदा यसलाई हरेक प्रोभिजनिङ रनमा टाँस्नुको सट्टा भण्डार र शेल इतिहासबाट बाहिर राख्नुहोस्।
पूर्वनिर्धारित मानहरू स्वीकार्नुको सट्टा प्रस्ताव पिन गर्नुहोस्
Windows ले IPsec रूपान्तरणहरू आफै भर्छ, त्यसैले एउटै देखिने जडान भएका दुई मेसिनहरू एउटै गेटवेविरुद्ध फरक तरिकाले असफल हुन सक्छन्। Set-VpnConnectionIPsecConfiguration ती पिन गर्ने समर्थित तरिका हो:
Set-VpnConnectionIPsecConfiguration -ConnectionName "Contoso L2TP" `
-AuthenticationTransformConstants SHA256128 `
-CipherTransformConstants AES128 `
-EncryptionMethod AES128 `
-IntegrityCheckMethod SHA256 `
-DHGroup Group14 `
-PfsGroup None `
-PassThru -Forceत्यो सेट एउटा सामान्य L2TP/IPsec व्यवस्था हो, सार्वभौमिक उत्तर होइन। प्रत्येक प्यारामिटरले निश्चित मानहरूको सूची स्वीकार्छ, र प्लेटफर्मले म्याप गर्न नसक्ने संयोजन चुपचाप कमजोर बनाइएको प्रोफाइलको सट्टा cmdlet त्रुटिका रूपमा फर्किन्छ। यस्तो त्रुटिलाई मानहरूको बारेमा भनाइको रूपमा लिनुहोस्, तपाईंको अनुमतिको बारेमा होइन।
प्रस्तावलाई गेटवेको कागजात वा यसको जीवित चरण 1 र चरण 2 सेटिङबाट प्रतिलिपि गर्नुहोस्, र गेटवेले अस्वीकार गर्ने रूपान्तरणहरू लग गरिरहेको बेला मात्र एक पटकमा एउटा फिल्ड बदल्नुहोस्। पाँच फिल्ड घुम्नाले दुर्घटनावश काम गर्ने जडान र अर्को व्यक्तिलाई केही नबुझाउने रेकर्ड बनाउँछ।
असफलता त्रुटि पाठले होइन, चरणअनुसार पढ्नुहोस्
789 क्लाइन्ट संवादमा सबै उस्तै देखिने कोडहरूको परिवारमा पर्छ। प्रोफाइललाई फेरि छुनु अघि कोडलाई यो पर्ने चरणको अगाडि राख्नुहोस्:
| What you see | Stage that failed | Check first |
|---|---|---|
| Nothing happens, then a timeout | No IKE response at all | Server address, UDP 500 and 4500 reachability, NAT traversal on the gateway |
| Error 789 | IKE security exchange | Proposal, pre-shared key, certificate trust and client clock |
| Error 691 or a repeated password prompt | User authentication | Account state, domain, RADIUS or NPS policy |
| Tunnel up, some hosts unreachable | Routing or DNS after PPP | Split-tunnel routes, pushed DNS, remote subnet mask |
यहाँ प्रमाणहरूका दुई भूमिका महत्त्वपूर्ण छन्। पहिले साझा गरिएको कुञ्जी वा प्रमाणपत्रले पक्षहरूलाई एकअर्कासँग प्रमाणित गर्छ, जबकि MSChapv2 वा EAP ले तपाईंलाई टनेलभित्र प्रमाणित गर्छ। प्रयोगकर्ताको पासवर्ड रिसेट गर्नाले पहिलो सुधार्न सक्दैन, नयाँ साझा रहस्यले दोस्रो सुधार्न सक्दैन, र दुवै एकैचोटि बदल्नाले कुन गलत थियो भन्ने प्रमाण नष्ट हुन्छ।
प्रमाणपत्रको बाटोमा, प्रमाणीकरण खुकुलो पार्ने विचार गर्नु अघि क्लाइन्टको घडी, विश्वास शृंखला र गेटवेले अपेक्षा गर्ने पहिचान जाँच्नुहोस्। प्रमाणीकरण बन्द गर्दा देखिने 789 गलत पक्षलाई विश्वास गर्दै जोडिने टनेलमा परिणत हुन्छ, र क्लाइन्टमा केहीले पनि त्यो भएको कुरा तपाईंलाई भन्दैन। Microsoft को टाढाको पहुँच त्रुटिहरूको सूची आफैं कोडहरूका लागि सन्दर्भ हो, र यसले सुरक्षा तहका असफलताहरूलाई लगइन असफलताहरूबाट अलग गर्छ।
ठीक भयो भन्नु अघि दुवै छेउबाट प्रमाणित गर्नुहोस्
प्रोफाइल फर्केर पढ्नुहोस्, तर आउटपुटमा प्रस्तावको अपेक्षा नगर्नुहोस्। Get-VpnConnection ले नाम, सर्भर ठेगाना, टनेल प्रकार, इन्क्रिप्शन स्तर र प्रमाणीकरण विधि रिपोर्ट गर्छ, र रूपान्तरणहरूको बारेमा केही जान्दैन, त्यसैले पढाइले प्रविष्टि अवस्थित छ र सही होस्टतर्फ देखाउँछ भनी पुष्टि गर्छ:
Get-VpnConnection -Name "Contoso L2TP" |
Select-Object Name, ServerAddress, TunnelType, EncryptionLevel, AuthenticationMethodसंवादको सट्टा नम्बर पाउन आदेश लाइनबाट डायल गर्नुहोस्: rasdial "Contoso L2TP" ले इन्टरफेसले दिने त्यही असफलता कोड दिन्छ, र rasdial "Contoso L2TP" /disconnect ले प्रयासहरूबीच त्यो मेटाउँछ। त्यसपछि त्यही प्रयासका लागि गेटवेको पक्ष पढ्नुहोस्। strongSwan को ipsec statusall वा राउटरको IKE लगले कुन प्रस्ताव आयो र कुन अस्वीकार भयो भन्छ, र त्यसलाई cmdlet मानहरूसँग तुलना गर्नु नै दुवै छेउ सहमत भएको साँच्चै प्रमाणित गर्ने एकमात्र कदम हो।
सफल जडान अन्तिम रेखा होइन। प्रयोगकर्तालाई महत्त्वपूर्ण लाग्ने एप खोल्नुहोस्, किनकि मार्गहरू, धकेलिएको DNS र स्प्लिट-टनेल सेटिङहरू टनेल माथि आएपछि असफल हुन्छन् र कुनै त्रुटि संवाद दिँदैनन्।
यसलाई स्वचालित गर्नुहोस्, र सफासँग फर्कनुहोस्
अनुगमन नगरिएको सेटअप नै यसलाई स्क्रिप्ट गर्ने कारण हो, र डायल चरण प्रमाणहरू चुहिने ठाउँ हो। rasdial तिनीहरूलाई आफ्नै आदेश लाइनमा लिन्छ, जहाँ अन्य स्थानीय प्रयोगकर्ता र अधिकांश लग संकलकहरूले पढ्न सक्छन्:
subprocess.run(["rasdial", "Contoso L2TP"], check=True)काम चलाउने खातामा सीमित प्रमाणलाई प्राथमिकता दिनुहोस्, वा अनुसूचित कार्यमा पासवर्डलाई तर्कका रूपमा दिनुको सट्टा प्रोफाइललाई -RememberCredential सँग त्यो भण्डारण गर्न दिनुहोस्। प्रोभिजनिङ आदेशहरू आफैं -Force सँग दोहोर्याउन सुरक्षित छन्, तर तिनीहरूले पुरानो प्रस्तावलाई खुसीसाथ माथि लेख्छन्, त्यसैले स्क्रिप्टले हालका मानहरू बोकेको छ भने मात्र पुनः चलाउनु उपयोगी हुन्छ।
प्रोफाइलहरू पुनः सुरु हुँदैमा रहन्छन् र तिनीहरूका लागि बनाइएको गेटवे कन्फिगरेसनभन्दा लामो बाँच्छन्। गेटवेको प्रस्ताव सर्दा, मानहरूको दोस्रो सेट माथि तह लगाउनुको सट्टा प्रविष्टि हटाएर फेरि बनाउनुहोस्: Remove-VpnConnection -Name "Contoso L2TP" -Force, त्यसपछि दुई cmdlet नयाँ सेटसँग दोहोर्याउनुहोस्।
स्क्रिप्टको छेउमा बस्ने चार जाँचले लूप बन्द गर्नुहोस्: Get-VpnConnection ले अपेक्षित टनेल प्रकार र इन्क्रिप्शन स्तर देखाउँछ; गेटवेले तपाईंको क्लाइन्ट ठेगानाका लागि पूरा भएको चरण 1 र चरण 2 लग गर्छ; rasdial ले सफलता दिन्छ र एप खुल्छ; र स्क्रिप्टमा रेकर्ड गरिएको प्रस्ताव हालको गेटवे सेटिङसँग मिल्छ। अर्को 789 आउँदा, त्यो तुलना दिउँसोको सट्टा केही मिनेटमा हुन्छ।