PPTP සහ L2TP/IPsec පරිශීලක නාමය ඉල්ලීමට පෙර නතර වන්නේ ඇයි?
පරිශීලක නාම ඉල්ලීමක් නොපැමිණීම යනු PPP කිසිදා ආරම්භ නොවූ බවයි, එබැවින් දෝෂය ප්‍රවාහනය, යතුරු හුවමාරුව හෝ උමං සැකසුම තුළ ඇත. නැවත ස්ථාපනය කිරීමට පෙර පියවරවල අනුපිළිවෙල පරීක්ෂා කරන්න.
පරිශීලක නාම ඉල්ලීමක් නොපැමිණීම රෝග විනිශ්චයේ ත්‍යාගයකි: PPP තවම ආරම්භ වී නැත, එබැවින් ගිණුම, මුරපදය සහ වසම් ප්‍රතිපත්තිය තවම විමසා නැත. PPTP හෝ L2TP/IPsec සම්බන්ධතාවයක ක්ලයන්ට් අක්තපත්‍ර ඉල්ලන්නේ උමං පවතින විට සහ සර්වරය PPP සැසියක් ආරම්භ කළ පසුව පමණි. එම මොහොතට පෙර අසාර්ථක විය හැකි සියල්ල ප්‍රවාහනය, යතුරු හුවමාරුව හෝ උමං සැකසුම වන අතර එය «VPN කැඩී ඇත» යන්නට වඩා බෙහෙවින් කුඩා ප්‍රදේශයකි.
නොමැති ඉල්ලීම දෝෂය පියවර තුනකට සීමා කරයි
දෘශ්‍යමානව සාර්ථක වූ අවසන් පියවර සටහන් කරන්න, මන්ද එක් එක් පියවරට වෙනත් හිමිකරුවෙක් සහ වෙනත් විසඳුමක් ඇත. පියවර දෙකක් පෙර සිරවී සිටියදී ගිණුම් සැකසුම් අනුමාන කිරීම දහවලක් නැති වන ක්‍රමයයි.
| Stage | What has to work | How a failure looks |
|---|---|---|
| Reach | UDP 500, 4500 and 1701 — or TCP 1723 plus GRE — through every firewall and NAT device | Client hangs, then reports no response |
| Key exchange | Preshared key or certificate, phase 1 and phase 2 proposals | Fast error, or a stall after the client says it is verifying |
| Tunnel | L2TP or PPTP control channel, then PPP starts | Connects, then closes with no prompt |
| User auth | PPP credentials and an address pool with room | Prompt appears, then a rejection |
ඉල්ලීමක් නොමැතිව කල් ඉකුත් වන ක්ලයන්ටයට කිසිදා IPsec සන්ධානයක් නොලැබුණි, එබැවින් දෝෂය IKE තුළ හෝ ඔබේ පැකට් ගේට්වේ වෙත ළඟා වේද යන්න තුළ ඇත. අක්තපත්‍ර සත්‍යාපනය කරන බව දන්වා පසුව වැටෙන ක්ලයන්ටය පණිවිඩය ඇඟවුම් කරනවාට වඩා ඉදිරියට ගොස් ඇත. ඉල්ලීමකින් පසු ප්‍රතික්ෂේපයක් ආවොත් එය PPP සත්‍යාපනය වන අතර එහි ස්ථානය මෙම ලිපියේ නොව ගිණුම පිළිබඳ ලිපියේ ය.
පළමු පියවර: ගිනි පවුරක් නිහඬව ඉවත ලන ප්‍රොටෝකෝලය
PPTP ට එහි පාලන නාලිකාවට TCP 1723 සහ දත්ත මාර්ගයට IP ප්‍රොටෝකෝලය 47 අවශ්‍ය වන අතර දෙක වෙන වෙනම ගමන් කරයි. බොහෝ ජාල 1723 ඉදිරියට යවා ප්‍රොටෝකෝලය 47 ඉවත ලයි, එයින් සාකච්ඡා කර පසුව කිසිවක් නොගෙන යන උමං එකක් සාදයි. NAT කරන රවුටරයකට GRE ආධාරක සමත් වීමක් ද අවශ්‍ය වන අතර IPv6 පමණක් වන ප්‍රවේශ මාර්ගයකට කිසිදු වින්‍යාසයක PPTP ගෙන යා නොහැක.
IPsec මත L2TP IKE සඳහා 500 වරාය සහ NAT තරණය සඳහා 4500 වරාය වැය කරයි, පසුව L2TP රථවාහනයම 1701 තුළ ඔතා, සන්ධානය පවතින විට ESP ආරක්ෂිත බර ගෙන යයි. පාලන වරාය දෙකට ඉඩ දී ESP ට නොදුන්නොත් ඔබට හරියටම මාතෘකාවේ රෝග ලක්ෂණය ලැබේ: පෙනෙන ප්‍රගතියක්, පසුව කිසිදු අක්තපත්‍ර සංවාදයකට පෙර මළ ක්ලයන්ටයක්. දුරකථන හොට්ස්පොට් එකකින් පරීක්ෂා කිරීම ක්ලයන්ට් ගැටලුව මාර්ග ගැටලුවෙන් වෙන් කිරීමට ලාභදායී ක්‍රමයකි.
දෙවන පියවර: යතුර නොවන යතුරක්, නොදෙන යෝජනාවක්
නොගැලපෙන පෙර බෙදාගත් යතුරක් වේගයෙන් සහ නිහඬව අසාර්ථක වේ, සහ සාමාන්‍ය ස්වරූපය වන්නේ තිරයේ නිවැරදිව පෙනෙන නමුත් අලවා ඇති පේළි බිඳීමක් හෝ අවසානයේ හිස්තැනක් දරන යතුරකි. Linux ක්ලයන්ටයක සංවාදය අනිවාර්යයෙන් සත්‍යයේ මූලාශ්‍රය නොවේ: NetworkManager හි L2TP ප්ලගිනය රහස් /etc/ipsec.d/ යටතේ ඇති ගොනුවල තබා ගනී, සහ /etc/ipsec.secrets තවමත් ඇතුළත් කරන පැරණි සම්බන්ධතාවයකට අදාළ ගොනුව ඔබ දැන් ටයිප් කළ ගොනුව වෙනුවට භාවිත වේ. එම ගොනුව ආරක්ෂිත තැනකට පිටපත් කර, ඇතුළත් කිරීමේ මාර්ගයෙන් ඉවත් කර, පසුව යතුර අතින් නැවත ටයිප් කරන්න.
මෙම පියවරේ අනෙක් අඩ යෝජනාවයි. දෙකෙළවරම එකම 1 වන අවස්ථා ඇල්ගොරිතම කට්ටලයට — සංකේතනය, අඛණ්ඩතාව සහ Diffie-Hellman කණ්ඩායම — සහ 2 වන අවස්ථාව සඳහා ගැලපෙන ESP පරිවර්තනවලට එකඟ විය යුතුය, එසේ නොවුණහොත් සන්ධානය කිසිසේත් නොසැදේ. 3DES, SHA1 සහ MODP1024 පමණක් දෙන ගේට්වේ එකක් ශක්තිමත් ඇල්ගොරිතම සඳහා සකසන ලද ක්ලයන්ටයක් ප්‍රතික්ෂේප කරන අතර එහි ලොගය ප්‍රතික්ෂේප කළ පරිවර්තනය නම් කරයි. සේවාව නැවත ආරම්භ කරනවාට වඩා ලොගය කියවන්නේ නම් ලොගයම නොගැලපීම නම් කරයි. සංසද ත්‍රෙඩයකින් ඇල්ගොරිතම තන්තුවක් පිටපත් කරනවාට වඩා ගේට්වේ එකෙන් ඇසන්න එය සැබවින්ම කුමන පරිවර්තන සාකච්ඡා කරයිද කියා: එහි ලිපිනයට යොමු කළ ike-scan එය සාකච්ඡා කරන පරිවර්තන ආපසු දෙයි. එකම පිරිනැමීම ඔබේ ප්‍රතිපත්තිය තවදුරටත් ඉඩ නොදෙන ගුප්තකේතනයක් නම්, නිවැරදි කිරීම ගේට්වේ එකේ ය, ක්ලයන්ටය පහත හෙළීමේ නොවේ.
Windows තුළ යතුර සහ සත්‍යාපන ක්‍රමය VPN පැතිකඩ තුළ පවතී, සහ නොගැලපීම අක්තපත්‍ර ඉල්ලීමට පෙර දිස්වේ, පසුව නොවේ. ලබන්නා Windows Server නම්, දුරස්ථ ප්‍රවේශ භූමිකාව ස්ථාපිත බව, සහතිකය ක්ලයන්ට් සම්බන්ධ වන නමට ගැලපෙන බව සහ කිසිදු වරාය පෙරහනක් ඉහත ප්‍රොටෝකෝලවලට වඩා පටු නොවන බව තහවුරු කරන්න.
තෙවන පියවර: උමං ඇති අතර PPP ආරම්භ නොවේ
IKE අවසන් වී ඉල්ලීම තවමත් නොපැමිණෙන්නේ නම් ගිනි පවුර නොව උමං ඩීමන් දෙස බලන්න. L2TP ට UDP 1701 මත සවන් දෙන යමක් අවශ්‍ය වේ — Linux හි xl2tpd හෝ kl2tpd, Windows හි දුරස්ථ ප්‍රවේශ සේවාව — සහ ස්ථාපිත නමුත් නතර කළ සේවාවක් ක්ලයන්ට් පැත්තෙන් ඉවත ලූ පැකට් එකක් මෙන්ම පෙනේ. ඔබ දැනටමත් සත්‍යාපනය කළ නීති නැවත විවෘත කිරීමට පෙර සවන් දෙන්නා පරීක්ෂා කරන්න. පසුව PPP සාකච්ඡා කළ යුතු අතර පළමු LCP හුවමාරුව නිහඬ අසාර්ථකත්වය සාමාන්‍යයෙන් ගොඩ බසින තැනය.
මෙම පියවරේ එක් උගුලක් කිසිසේත් ජාල දෝෂයක් නොවේ: Windows දී ඇති VPN වර්ගයක එක් සම්බන්ධතාවයකට පමණක් එකවර ඉඩ දෙයි, එබැවින් දෙවන උත්සාහය දෝෂ 937 ලබා දෙයි, «මෙම වර්ගයේ තවත් සම්බන්ධතාවයක් භාවිතයේ ඇත». එය දේශීය නීතියක් වන අතර එය මග හැරීමේ මාර්ගය වෙනත් උපාංගයක්, වෙනත් උමං වර්ගයක් හෝ දැනටමත් පවතින එකම සම්බන්ධතාවය බෙදා ගැනීමයි.
අනුමාන කරනවාට වඩා පියවර අනුපිළිවෙලින් ලොගය කියවන්න
ක්ලයන්ටය නවත්වා නැවත ආරම්භ කර, සංරචක ලොග් ලියන අනුපිළිවෙලින් කියවන්න. එනම් මුලින්ම IPsec ඩීමන් — strongSwan හෝ Libreswan, සහ ipsec --version කුමක්දැයි කියයි — පසුව L2TP ඩීමන්, පසුව pppd. අසාර්ථකත්වයට පෙර අවසන් වරට ලියූ සංරචකය විමර්ශනය කළ යුතු පියවර සලකුණු කරයි, මන්ද අනුපිළිවෙලේ ඉන් පසු එන කිසිවක් ක්‍රියාත්මක වී නැත.
සුරකින ලද සැසියක් වෙනුවට නව සම්බන්ධතාවයකින් තහවුරු කරන්න, මන්ද සංචිතයෙන් නැවත සම්බන්ධ වන ක්ලයන්ටයකට හුවමාරුවේ කොටස් මග හැර පැරණි ප්‍රතිඵලයක් පුනරුත්පාදනය කළ හැක. ළඟාවීම, යතුරු හුවමාරුව, උමං සහ PPP එකින් එක, එම අනුපිළිවෙලින් තහවුරු කරන්න. එවිට නොමැති ඉල්ලීම අභිරහසක් වීම නවතා සැබවින්ම වැඩ කළ හැකි ලැයිස්තුවක දෙවන පේළිය බවට පත්වේ. එම ලැයිස්තුවම ඔබ ජාල කණ්ඩායමට දෙන දෙයයි, එසේ නොමැති නම් ආරම්භ නොකළ ඩීමනයක ජීවත් වන දෝෂයක් සඳහා ගිනි පවුර පරීක්ෂා කරන ලෙස ඔවුන්ගෙන් ඉල්ලා සිටිනු ඇත.