Gabimi 789 i L2TP/IPsec në Windows: krijoni profilin dhe fiksoni propozimin

Gabimi 789 në një lidhje L2TP të Windows do të thotë se tuneli vdiq brenda shkëmbimit të sigurisë IPsec, gjë që ndodh shumë përpara se Windows të dërgojë diku një fjalëkalim përdoruesi. Riprovimi i fjalëkalimit, ose ricaktimi i tij në drejtori, nuk mund ta çojë atë fazë përpara. Atë e çon përpara rindërtimi i lidhjes nga PowerShell me propozimin që porta e rrjetit ofron vërtet, sepse magjistari i Cilësimeve zgjedh transformimet IPsec në heshtje dhe nuk ju tregon kurrë çfarë zgjodhi. Ky është udhëzuesi për këtë: krijoni profilin, fiksoni propozimin, pastaj përdorni një tabelë fazash që kodi tjetër t'ju thotë diçka.

Krijoni profilin pa magjistarin

Add-VpnConnection shkruan një zë vendas të librit telefonik, kështu që rezultati është i njëjti objekt që aplikacioni Cilësimet do të redaktojë më vonë. Ekzekutojeni nga një sesion i ngritur kur lidhja duhet të ekzistojë për çdo llogari në makinë, ose nga konteksti i përdoruesit kur duhet të mbetet private:

Add-VpnConnection -Name "Contoso L2TP" `
  -ServerAddress 203.0.113.10 `
  -TunnelType L2tp `
  -EncryptionLevel Required `
  -AuthenticationMethod MSChapv2 `
  -RememberCredential -Force

Përputhni -AuthenticationMethod me atë që ofron porta e rrjetit. MSChapv2, EAP dhe PAP nuk janë të ndërrueshëm, dhe një profil që kërkon një metodë që serveri nuk do ta pranojë dështon para se të konsultohet çdo regjistrim përdoruesi. Mbani -EncryptionLevel Required për çdo gjë reale; Optional lejon Windows të pranojë një tunel të paenkriptuar nëse pala tjetër ofron një të tillë, që është një shkurtore laboratori dhe jo një cilësim për t'u dërguar.

Nëse kaloni -L2tpPsk, ai çelës i ndarë paraprakisht shkruhet në profilin në disk, nga ku kushdo që mund të lexojë profilin në atë makinë mund ta rikuperojë. Përdorni një certifikatë për vërtetimin e palës tjetër kur porta e rrjetit e mbështet, dhe kur një PSK është i pashmangshëm, mbajeni jashtë depove dhe jashtë historisë së shell-it në vend që ta ngjitni në çdo ekzekutim providimi.

Fiksoni propozimin në vend që të pranoni vlerat e paracaktuara

Windows i plotëson vetë transformimet IPsec, prandaj dy makina me një lidhje në dukje identike mund të dështojnë ndryshe ndaj të njëjtës portë rrjeti. Set-VpnConnectionIPsecConfiguration është mënyra e mbështetur për t'i fiksuar:

Set-VpnConnectionIPsecConfiguration -ConnectionName "Contoso L2TP" `
  -AuthenticationTransformConstants SHA256128 `
  -CipherTransformConstants AES128 `
  -EncryptionMethod AES128 `
  -IntegrityCheckMethod SHA256 `
  -DHGroup Group14 `
  -PfsGroup None `
  -PassThru -Force

Ai grup është një rregullim i zakonshëm L2TP/IPsec, jo një përgjigje universale. Çdo parametër pranon një listë fikse vlerash, dhe një kombinim që platforma nuk mund ta hartojë kthehet si gabim cmdlet në vend të një profili të dobësuar në heshtje. Trajtojeni një gabim të tillë si një deklaratë për vlerat, jo për lejet tuaja.

Kopjoni propozimin nga dokumentacioni i portës së rrjetit ose nga cilësimet e saj të gjalla të fazës 1 dhe fazës 2, dhe ndryshoni një fushë në një kohë vetëm sa kohë që porta e rrjetit regjistron transformimet që refuzon. Kalimi nëpër pesë fusha prodhon një lidhje që funksionon rastësisht dhe një regjistrim që nuk i shpjegon asgjë personit tjetër.

Lexojeni dështimin sipas fazës, jo sipas tekstit të gabimit

789 i përket një familjeje codesh që në dialogun e klientit duken të gjitha njësoj. Vendoseni kodin përballë fazës së cilës i përket përpara se ta prekni përsëri profilin:

Këtu kanë rëndësi dy rolet e kredencialeve. Një çelës i ndarë paraprakisht ose një certifikatë vërteton palët ndaj njëra-tjetrës, ndërsa MSChapv2 ose EAP ju vërteton juve brenda tunelit. Ricaktimi i fjalëkalimit të përdoruesit nuk mund të rregullojë të parin, një sekret i ri i përbashkët nuk mund të rregullojë të dytin, dhe ndryshimi i të dyjave njëherësh shkatërron provën se cili ishte i gabuar.

Në rrugën e certifikatës, kontrolloni orën e klientit, zinxhirin e besimit dhe identitetin që pret porta e rrjetit përpara se të shqyrtoni lehtësimin e vërtetimit. Çaktivizimi i vërtetimit e kthen një 789 të dukshëm në një tunel që lidhet duke i besuar palës së gabuar, dhe asgjë në klient nuk do t'ju thotë se kjo ndodhi. lista e gabimeve të aksesit në distancë të Microsoft është referenca për vetë kodet, dhe i ndan dështimet e shtresës së sigurisë nga dështimet e hyrjes.

Verifikoni nga të dy skajet përpara se ta shpallni të rregulluar

Lexoni profilin mbrapsht, por mos prisni propozimin në dalje. Get-VpnConnection raporton emrin, adresën e serverit, llojin e tunelit, nivelin e enkriptimit dhe metodën e vërtetimit, dhe nuk di asgjë për transformimet, kështu që leximi konfirmon se zëri ekziston dhe tregon drejt hostit të saktë:

Get-VpnConnection -Name "Contoso L2TP" |
  Select-Object Name, ServerAddress, TunnelType, EncryptionLevel, AuthenticationMethod

Telefononi nga rreshti i komandave që të merrni një numër në vend të një dialogu: rasdial "Contoso L2TP" kthen të njëjtin kod dështimi që do të kthente ndërfaqja, dhe rasdial "Contoso L2TP" /disconnect e pastron midis provave. Pastaj lexoni anën e portës së rrjetit për të njëjtën provë. Një ipsec statusall i strongSwan ose një regjistër IKE i ruterit thotë cili propozim mbërriti dhe cili u refuzua, dhe krahasimi i tij me vlerat e cmdlet është hapi i vetëm që vërteton vërtet se të dy skajet ranë dakord.

Një lidhje e suksesshme nuk është vija e finishit. Hapni aplikacionin për të cilin përdoruesi kujdeset, sepse rrugët, DNS i shtyrë dhe cilësimet e tunelit të ndarë dështojnë pasi tuneli është ngritur dhe nuk prodhojnë fare dialog gabimi.

Automatizojeni dhe kthehuni mbrapsht pastër

Instalimi pa mbikëqyrje është arsyeja për ta skriptuar këtë, dhe hapi i telefonimit është vendi ku rrjedhin kredencialet. rasdial i merr ato në rreshtin e vet të komandave, ku përdorues të tjerë lokalë dhe shumica e mbledhësve të regjistrave mund t'i lexojnë:

subprocess.run(["rasdial", "Contoso L2TP"], check=True)

Preferoni një kredencial të kufizuar në llogarinë që ekzekuton punën, ose lëreni profilin ta ruajë atë me -RememberCredential, në vend që të kaloni një fjalëkalim si argument në një detyrë të planifikuar. Vetë komandat e providimit janë të sigurta për t'u përsëritur me -Force, por ato me kënaqësi mbivendosin një propozim të vjetër, kështu që riekzekutimi ndihmon vetëm nëse skripti mbart vlerat aktuale.

Profilet vztrajojnë përmes rindezjeve dhe jetojnë më gjatë se konfigurimi i portës së rrjetit për të cilin u ndërtuan. Kur propozimi i portës së rrjetit zhvendoset, hiqni zërin dhe krijoni përsëri atë në vend që të shtresoni një grup të dytë vlerash sipër: Remove-VpnConnection -Name "Contoso L2TP" -Force, pastaj përsëritni dy cmdlet me grupin e ri.

Mbyllni ciklin me katër kontrolle që jetojnë pranë skriptit: Get-VpnConnection tregon llojin e tunelit dhe nivelin e enkriptimit që priten; porta e rrjetit regjistron një fazë 1 dhe fazë 2 të përfunduar për adresën e klientit tuaj; rasdial kthen sukses dhe aplikacioni hapet; dhe propozimi i regjistruar në skript përputhet me cilësimin aktual të portës së rrjetit. Kur të vijë 789 tjetër, ai krahasim merr minuta në vend të një pasdite.