Hitilafu 789 ya L2TP/IPsec kwenye Windows: tengeneza wasifu na uimarishe pendekezo

Hitilafu 789 kwenye muunganisho wa L2TP wa Windows inamaanisha handaki ilikufa ndani ya ubadilishanaji wa usalama wa IPsec, jambo ambalo hutokea muda mrefu kabla Windows itume nenosiri la mtumiaji mahali popote. Kujaribu nenosiri tena, au kuliweka upya kwenye saraka, hakuwezi kusukuma hatua hiyo mbele. Kinachoisukuma mbele ni kujenga upya muunganisho kutoka PowerShell kwa pendekezo ambalo lango hutoa kwa kweli, kwa sababu mchawi wa Mipangilio huchagua mabadiliko ya IPsec kimya kimya na kamwe hakukuonyesha alichochagua. Huu ni mwongozo wa jambo hilo: tengeneza wasifu, imarisha pendekezo, kisha tumia jedwali la hatua ili msimbo unaofuata ukwambie kitu.

Tengeneza wasifu bila mchawi

Add-VpnConnection huandika ingizo asilia la kitabu cha simu, kwa hivyo matokeo ni kitu kilekile ambacho programu ya Mipangilio itahariri baadaye. Iendeshe kutoka kikao kilichoinuliwa wakati muunganisho unapaswa kuwepo kwa kila akaunti kwenye mashine, au kutoka muktadha wa mtumiaji wakati unapaswa kubaki wa faragha:

Add-VpnConnection -Name "Contoso L2TP" `
  -ServerAddress 203.0.113.10 `
  -TunnelType L2tp `
  -EncryptionLevel Required `
  -AuthenticationMethod MSChapv2 `
  -RememberCredential -Force

Oanisha -AuthenticationMethod na kile lango hutoa. MSChapv2, EAP na PAP hazibadilishani, na wasifu unaodai mbinu ambayo seva haitakubali hushindikana kabla ya rekodi yoyote ya mtumiaji kuangaliwa. Weka -EncryptionLevel Required kwa kitu chochote halisi; Optional huruhusu Windows kukubali handaki lisilosimbwa ikiwa upande wa pili unatoa moja, jambo ambalo ni njia ya mkato ya maabara na si mpangilio wa kupeleka.

Ikiwa utapitisha -L2tpPsk, ufunguo huo ulioshirikiwa mapema huandikwa kwenye wasifu kwenye diski, ambako mtu yeyote anayeweza kusoma wasifu kwenye mashine hiyo anaweza kuurejesha. Tumia cheti kwa uthibitishaji wa upande wa pili lango linapotumia, na PSK isipoweza kuepukika, iweke nje ya hazina na nje ya historia ya shell badala ya kuibandika katika kila uendeshaji wa utoaji.

Imarisha pendekezo badala ya kukubali thamani chaguo-msingi

Windows hujaza mabadiliko ya IPsec yenyewe, ndiyo sababu mashine mbili zenye muunganisho unaoonekana sawa zinaweza kushindikana kwa namna tofauti dhidi ya lango lilelile. Set-VpnConnectionIPsecConfiguration ni njia inayotumika kuimarishe:

Set-VpnConnectionIPsecConfiguration -ConnectionName "Contoso L2TP" `
  -AuthenticationTransformConstants SHA256128 `
  -CipherTransformConstants AES128 `
  -EncryptionMethod AES128 `
  -IntegrityCheckMethod SHA256 `
  -DHGroup Group14 `
  -PfsGroup None `
  -PassThru -Force

Seti hiyo ni mpangilio mmoja wa kawaida wa L2TP/IPsec, si jibu la jumla. Kila kigezo hukubali orodha maalum ya thamani, na mchanganyiko ambao jukwaa haliwezi kuupanga hurudi kama hitilafu ya cmdlet badala ya wasifu uliodhoofishwa kimya. Chukulia hitilafu kama hiyo kama tamko kuhusu thamani, si kuhusu ruhusa zako.

Nakili pendekezo kutoka kwenye nyaraka za lango au kutoka mipangilio yake hai ya awamu ya 1 na awamu ya 2, na badilisha uga mmoja kwa wakati tu wakati lango linasajili mabadiliko linayokataa. Kupitia uga tano hutoa muunganisho unaofanya kazi kwa bahati na rekodi isiyoeleza kitu kwa mtu anayefuata.

Soma kushindikana kwa hatua, si kwa maandishi ya hitilafu

789 ni ya familia ya misimbo ambayo yote yanaonekana sawa kwenye mazungumzo ya mteja. Weka msimbo mbele ya hatua ambayo ni yake kabla ya kugusa wasifu tena:

Hapa jukumu la vitambulisho mawili ni muhimu. Ufunguo ulioshirikiwa mapema au cheti huthibitisha pande mbili kwa kila mmoja, wakati MSChapv2 au EAP hukuthibitisha wewe ndani ya handaki. Kuweka upya nenosiri la mtumiaji hakuwezi kurekebisha la kwanza, siri mpya iliyoshirikiwa haiwezi kurekebisha la pili, na kubadilisha zote kwa pamoja huharibu ushahidi wa lipi lilikuwa lisilo sahihi.

Kwenye njia ya cheti, angalia saa ya mteja, mnyororo wa uaminifu na utambulisho ambao lango hutarajia kabla ya kufikiria kulegeza uthibitishaji. Kuzima uthibitishaji hubadilisha 789 inayoonekana kuwa handaki linaloungana huku likiamini upande usiofaa, na hakuna kitu kwenye mteja kitakachokwambia kwamba hilo lilitokea. orodha ya hitilafu za ufikiaji wa mbali ya Microsoft ndiyo rejea ya misimbo yenyewe, na inatenganisha kushindikana kwa tabaka la usalama na kushindikana kwa kuingia.

Thibitisha kutoka pande zote mbili kabla ya kusema imerekebishwa

Soma wasifu kurudi, lakini usitarajie pendekezo kwenye matokeo. Get-VpnConnection huripoti jina, anwani ya seva, aina ya handaki, kiwango cha usimbaji na mbinu ya uthibitishaji, na haijui kitu kuhusu mabadiliko, kwa hivyo usomaji huthibitisha kwamba ingizo lipo na linaelekeza kwa mwenyeji sahihi:

Get-VpnConnection -Name "Contoso L2TP" |
  Select-Object Name, ServerAddress, TunnelType, EncryptionLevel, AuthenticationMethod

Piga simu kutoka mstari wa amri ili upate nambari badala ya mazungumzo: rasdial "Contoso L2TP" hurudisha msimbo uleule wa kushindikana ambao kiolesura kingerudisha, na rasdial "Contoso L2TP" /disconnect huufuta kati ya majaribio. Kisha soma upande wa lango kwa jaribio lilelile. ipsec statusall ya strongSwan au kumbukumbu ya IKE ya kipanga njia husema pendekezo lipi lilifika na lipi lilikataliwa, na kulinganisha hilo na thamani za cmdlet ni hatua pekee inayothibitisha kweli kwamba pande mbili zilikubaliana.

Muunganisho wenye mafanikio si mstari wa mwisho. Fungua programu ambayo mtumiaji anajali, kwa sababu njia, DNS iliyosukumwa na mipangilio ya handaki lililogawanywa hushindikana baada ya handaki kupanda na haitoi mazungumzo ya hitilafu hata kidogo.

Ifanye kiotomatiki, na urudi nyuma kwa usafi

Usanidi bila uangalizi ndio sababu ya kuandika skripti hii, na hatua ya kupiga simu ndipo vitambulisho huvuja. rasdial huwachukua kwenye mstari wake wa amri, ambako watumiaji wengine wa ndani na wakusanyaji wengi wa kumbukumbu wanaweza kuwasoma:

subprocess.run(["rasdial", "Contoso L2TP"], check=True)

Pendelea kitambulisho kilichowekewa kikomo kwa akaunti inayoendesha kazi, au acha wasifu uihifadhi kwa -RememberCredential, badala ya kupitisha nenosiri kama hoja katika kazi iliyoratibiwa. Amri za utoaji zenyewe ni salama kurudiwa kwa -Force, lakini zitafunika kwa furaha pendekezo la zamani, kwa hivyo kuendesha tena husaidia tu ikiwa skripti inabeba thamani za sasa.

Wasifu hudumu kupitia kuwasha upya na huishi zaidi ya usanidi wa lango ambao uliundwa kwa ajili yake. Pendekezo la lango linaposogea, ondoa ingizo na uunde upya badala ya kupanga seti ya pili ya thamani juu yake: Remove-VpnConnection -Name "Contoso L2TP" -Force, kisha rudia cmdlet mbili na seti mpya.

Funga mzunguko kwa ukaguzi nne unaoishi kando ya skripti: Get-VpnConnection huonyesha aina ya handaki na kiwango cha usimbaji kinachotarajiwa; lango husajili awamu ya 1 na awamu ya 2 zilizokamilika kwa anwani ya mteja wako; rasdial hurudisha mafanikio na programu hufunguka; na pendekezo lililorekodiwa kwenye skripti linaoana na mpangilio wa sasa wa lango. 789 ijayo inapofika, kulinganisha huko huchukua dakika badala ya mchana mzima.