په Windows کې د L2TP/IPsec 789 تېروتنه: پروفایل جوړ کړئ او وړاندیز وتړئ
تېروتنه 789 په IPsec تبادله کې ناکامه کېږي، نه په پټنوم کې. L2TP پروفایل سکریپټ کړئ، وړاندیز وتړئ او وروسته کوډونه د مرحلې له مخې ولولئ.
په Windows کې د L2TP اړیکې 789 تېروتنه دا مانا لري چې تونل د IPsec امنیتي تبادلې په داخل کې مړ شوی، چې دا د Windows له خوا د کاروونکي پټنوم هر چېرې لېږلو څخه ډېر وړاندې پېښېږي۔ پټنوم بیا هڅول، یا په لارښود کې یې بیا تنظیمول، نشي کولی هغه مرحله مخ ته یوسي۔ هغه څه چې مخ ته یې وړي د PowerShell څخه اړیکه بیا جوړول دي د هغه وړاندیز سره چې ګېټوې واقعاً وړاندې کوي، ځکه چې د تنظیماتو جادوګر د IPsec بدلونونه په خاموشۍ غوره کوي او هیڅکله تاسو ته نه ښیي چې څه یې غوره کړل۔ دا د همدې لپاره لارښود دی: پروفایل جوړ کړئ، وړاندیز وتړئ، بیا د مرحلو جدول وکاروئ تر څو راتلونکی کوډ تاسو ته یو څه ووایي۔
پروفایل پرته له جادوګر جوړ کړئ
Add-VpnConnection یوه اصلي تلیفون کتابچه ننویسه، نو پایله هغه شی دی چې د تنظیماتو اپلیکیشن وروسته یې سمون کوي۔ کله چې اړیکه باید د ماشین هر حساب لپاره وي، له لوړ شوي سیشن څخه یې چلو، یا کله چې باید خصوصي پاتې شي، د کاروونکي له زمینه څخه:
Add-VpnConnection -Name "Contoso L2TP" `
-ServerAddress 203.0.113.10 `
-TunnelType L2tp `
-EncryptionLevel Required `
-AuthenticationMethod MSChapv2 `
-RememberCredential -Forceد ګېټوې له وړاندیز سره -AuthenticationMethod سم کړئ۔ MSChapv2، EAP او PAP یو د بل بدلېدونکي نه دي، او هغه پروفایل چې داسې طریقه غواړي چې سرور به یې نه مني، له هر کاروونکي ریکارډ کتلو څخه وړاندې ناکامېږي۔ د هر ريښتیني شي لپاره -EncryptionLevel Required وساتئ؛ Optional Windows ته اجازه ورکوي چې بې کوډ شوی تونل ومني که مخالف لوری یو وړاندې کړي، دا د لابراتوار لنډه لار ده، نه د لېږلو تنظیم۔
که -L2tpPsk ورکړئ، هغه مخکې شریک شوی کیلي په ډیسک کې پروفایل ته لیکل کېږي، له هماغه ځایه چې هر څوک چې په هغه ماشین کې پروفایل ولولي کولی شي بیرته یې راوړي۔ کله چې ګېټوې ملاتړ کوي، د مخالف لوري د تصدیق لپاره سند وکاروئ، او کله چې PSK نه شي مخنیوی کېدای، هغه د هر ترتیب چلونې په داخل کې د نښلولو پر ځای له ذخیرې او shell تاریخ څخه بهر وساتئ۔
د تلواله ارزښتونو منلو پر ځای وړاندیز وتړئ
Windows پخپله IPsec بدلونونه ډکوي، نو ځکه دوه ماشینونه چې ورته ښکاري اړیکه لري کولی شي د یوې ګېټوې په وړاندې په بېلابېلو ډولونو ناکام شي۔ Set-VpnConnectionIPsecConfiguration د هغوی د تړلو ملاتړ شوې لاره ده:
Set-VpnConnectionIPsecConfiguration -ConnectionName "Contoso L2TP" `
-AuthenticationTransformConstants SHA256128 `
-CipherTransformConstants AES128 `
-EncryptionMethod AES128 `
-IntegrityCheckMethod SHA256 `
-DHGroup Group14 `
-PfsGroup None `
-PassThru -Forceهغه ټولګه د L2TP/IPsec یوه عامه ترتیبه ده، نه نړیوال ځواب۔ هر پارامېټر د ارزښتونو ثابته لړلیک مني، او هغه ترکیب چې پلیټفارم یې نشي نقشه کولی د خاموشې کمزورې شوې پروفایل پر ځای د cmdlet تېروتنې په توګه راګرځي۔ داسې تېروتنه د ارزښتونو په اړه څرګندونه وګڼئ، نه ستاسو د اجازو په اړه۔
وړاندیز د ګېټوې له اسنادو یا د هغې له ژوندیو مرحلې 1 او مرحلې 2 تنظیماتو څخه کاپي کړئ، او یوازې په یوه وخت کې یوه ساحه بدله کړئ، یوازې هغه وخت چې ګېټوې هغه بدلونونه ثبتوي چې ردوي یې۔ له پنځو ساحو تېرېدل داسې اړیکه جوړوي چې ناڅاپي کار کوي او داسې ریکارډ چې بل کس ته هیڅ نه څرګندوي۔
ناکامي د تېروتنې متن له مخې نه، د مرحلې له مخې ولولئ
789 د کوډونو هغې کورنۍ پورې اړه لري چې په کلاینت خبرو اترو کې ټول ورته ښکاري۔ مخکې له دې چې پروفایل بیا ولرئ، کوډ د هغې مرحلې په وړاندې کېږدئ چې هغه پورې اړه لري:
| What you see | Stage that failed | Check first |
|---|---|---|
| Nothing happens, then a timeout | No IKE response at all | Server address, UDP 500 and 4500 reachability, NAT traversal on the gateway |
| Error 789 | IKE security exchange | Proposal, pre-shared key, certificate trust and client clock |
| Error 691 or a repeated password prompt | User authentication | Account state, domain, RADIUS or NPS policy |
| Tunnel up, some hosts unreachable | Routing or DNS after PPP | Split-tunnel routes, pushed DNS, remote subnet mask |
دلته د اعتبارنامو دوه رولونه مهم دي۔ مخکې شریک شوی کیلي یا سند لوری یو بل ته تصدیق کوي، په داسې حال کې چې MSChapv2 یا EAP تاسو د تونل په داخل کې تصدیق کوي۔ د کاروونکي پټنوم بیا تنظیمول لومړی نه شي سمول کولی، نوی ګډ راز دویم نه شي سمول کولی، او دواړه یو ځای بدلول د دې ثبوت له منځه وړي چې کوم یو غلط و۔
د سند په لاره کې، مخکې له دې چې د تصدیق نرمول فکر وکړئ، د کلاینت ساعت، د باور زنځیر او هغه هویت چې ګېټوې تمه لري وګورئ۔ تصدیق بندول ښکاره 789 په داسې تونل بدلوي چې غلط لوري ته باور کولو سره نښلېږي، او په کلاینت کې هېڅ نه شي کولی تاسو ته ووایي چې داسې شوي۔د Microsoft د لرې لاسرسي تېروتنو لړلیک پخپلو کوډونو لپاره مرجع ده، او د امنیتي طبقې ناکامۍ له ننوتلو ناکامیو څخه بېلوي۔
مخکې له دې چې سم شو ووایاست، له دواړو سرونو تصدیق کړئ
پروفایل بیرته ولولئ، خو په وتنې کې د وړاندیز تمه مه کوئ۔ Get-VpnConnection نوم، د سرور پته، د تونل ډول، د کوډ کولو کچه او د تصدیق طریقه راپور ورکوي، او د بدلونونو په اړه هېڅ نه پوهېږي، نو لوستل تاییدوي چې ننوتنه شته او سم هوسټ ته اشاره کوي:
Get-VpnConnection -Name "Contoso L2TP" |
Select-Object Name, ServerAddress, TunnelType, EncryptionLevel, AuthenticationMethodد خبرو اترو پر ځای د شمېرې ترلاسه کولو لپاره له کمانډ لاین څخه زنګ ووهئ: rasdial "Contoso L2TP" هغه ورته ناکامي کوډ ورکوي چې انټرفېس به ورکړي، او rasdial "Contoso L2TP" /disconnect د هڅو ترمنځ یې پاکوي۔ بیا د هماغې هڅې لپاره د ګېټوې لوری ولولئ۔ د strongSwan ipsec statusall یا د روټر IKE ثبت وایي کوم وړاندیز راغی او کوم رد شو، او د هغې د cmdlet ارزښتونو سره پرتله کول یوازینی ګام دی چې واقعاً ثابتوي دواړه سرونه سره یو ځای شول۔
بریالۍ اړیکه د پای کرښه نه ده۔ هغه اپلیکیشن پرانیزئ چې کاروونکي ته مهم دی، ځکه چې لارې، ټېل وهل شوی DNS او د وېشل شوي تونل تنظیمات د تونل له پورته کېدو وروسته ناکامېږي او هېڅ د تېروتنې خبرې اترې نه جوړوي۔
اتوماتیک یې کړئ، او په پاکه توګه بیرته وګرځئ
بې څارنې ترتیب د دې د سکریپټ کولو لامل دی، او د زنګ ګام هغه ځای دی چې اعتبارنامې تویېږي۔ rasdial هغوی په خپل کمانډ لاین کې اخلي، چېرې چې نور محلي کاروونکي او ډېری د ثبت راټولوونکي یې لوستلی شي:
subprocess.run(["rasdial", "Contoso L2TP"], check=True)د هغه حساب پورې محدود اعتبار ته ترجیح ورکړئ چې دنده چلوي، یا پرېږدئ پروفایل یې د -RememberCredential سره ذخیره کړي، د دې پر ځای چې د مهال ویش شوې دندې په کې پټنوم د استدلال په توګه ورکړئ۔ د ترتیب کولو کمانډونه پخپله د -Force سره د تکرار لپاره خوندي دي، خو په خوښۍ سره زاړه وړاندیز پوښي، نو بیا چلول یوازې هغه وخت مرسته کوي چې سکریپټ اوسني ارزښتونه ولېږدوي۔
پروفایلونه له بیا پیلېدو څخه تېرېږي او د هغې ګېټوې له ترتیباتو څخه چې دوی ورته جوړ شوي وو زیات ژوندي پاتې کېږي۔ کله چې د ګېټوې وړاندیز ځای بدل کړي، ننوتنه لرې کړئ او بیا یې جوړ کړئ، د دې پر ځای چې د ارزښتونو دویمه ټولګه پر سر وټاکئ: Remove-VpnConnection -Name "Contoso L2TP" -Force، بیا دوه cmdlet د نوي ټولګې سره تکرار کړئ۔
حلقه د څلورو څېړنو سره بنده کړئ چې د سکریپټ ترڅنګ ژوندي دي: Get-VpnConnection تمه شوی د تونل ډول او د کوډ کولو کچه ښیي؛ ګېټوې ستاسو د کلاینت پتې لپاره بشپړه مرحله 1 او مرحله 2 ثبتوي؛ rasdial بری راګرځوي او اپلیکیشن خلاصېږي؛ او په سکریپټ کې ثبت شوی وړاندیز د ګېټوې له اوسني تنظیم سره سمون لري۔ کله چې راتلونکې 789 راشي، هغه پرتله د ماسپښین پر ځای دقیقې وخت نيسي۔