VPN-లో ఏ దశ విఫలమైంది: IPsec, L2TP నియంత్రణ లేదా PPP ప్రామాణీకరణ
చివరి విజయవంతమైన దశను కనుగొని ఆ పొరను మాత్రమే సరిచేయండి: IPsec, L2TP నియంత్రణ ఛానెల్, PPP ప్రామాణీకరణ లేదా చిరునామా కేటాయింపు.
మీరు పాస్వర్డ్ మార్చారు, ఏమీ కదలలేదు, ఎందుకంటే వైఫల్యం ఎప్పుడూ PPPలో లేదు. L2TP/IPsec ఐదు పూర్తిగా భిన్నమైన అప్పగింతలకు ఒకే కనెక్షన్ లోపాన్ని నివేదిస్తుంది, ప్రతి అప్పగింతకు దాని స్వంత మరమ్మత్తు ఉంది. వెనుకకు పని చేయండి: చివరి విజయవంతమైన దశను కనుగొని దాని తర్వాత వచ్చేది మాత్రమే మార్చండి. క్రింది క్రమం మొదట ఏ ఆధారాలు సేకరించాలో కూడా నిర్ణయిస్తుంది.
నాలుగు ప్రశ్నలకు వరుసగా సమాధానం ఇవ్వండి
కొత్త ప్రయత్నాన్ని బలవంతం చేయండి, ఎందుకంటే కొన్ని క్లయింట్లు ప్రొఫైల్ డిస్కనెక్ట్ చేసి మళ్లీ కనెక్ట్ అయ్యే వరకు మునుపటి లోపాన్ని చూపుతూనే ఉంటాయి. ఆ తర్వాత దీనికి సమాధానం ఇవ్వండి: IPsec భద్రతా సంఘం ఉందా, L2TP నియంత్రణ కనెక్షన్ మరియు కాల్ కనిపించాయా, PPP ప్రామాణీకరణ తీర్పును చేరుకుందా, IPCP క్లయింట్కు చిరునామా ఇచ్చిందా? మొదటి లేదు మీరు సరిచేసే దశ. దాని తర్వాతది అంతా పరీక్షించబడలేదు, కాబట్టి సంఘమే లేనప్పుడు తిరస్కరించబడిన వినియోగదారు పేరు ఏమీ నిరూపించదు.
పోల్చడానికి ముందు రెండు చివరల గడియారాలను సమకాలీకరించండి. IPsec శుభ్రం చేసి PPPలో విఫలమైన పునఃప్రయత్నం, క్లయింట్ చివరి సందేశాన్ని మాత్రమే చూపించి సర్వర్ లాగ్ ఇంకా మునుపటి ప్రయత్నాన్ని ఉంచుకున్నప్పుడు ఒకే వైఫల్యంగా కనిపిస్తుంది. బిగ్గరగా ఉన్న పంక్తితో కాదు, సమయ ముద్రతో చదవండి.
వినియోగదారు స్క్రీన్షాట్ మాత్రమే ఉన్నప్పుడు, అత్యంత చవకైన విభజనను నమ్మండి: తప్పు ముందస్తు పంచుకున్న కీ మరియు ఎప్పుడూ సమాధానం ఇవ్వని xl2tpd Windows సంభాషణలో అదే పాఠ్యాన్ని ఉత్పత్తి చేస్తాయి, కానీ ఒకదానికి రెండు చివరలా మార్చిన రహస్యం కావాలి, మరొకదానికి సర్వర్పైనే డీమన్ ప్రారంభించబడాలి లేదా ఫైర్వాల్ నియమం కావాలి. మధ్యలో ఉన్న పరికరం రవాణా మోడ్ IPsec చుట్టిన తర్వాత లోపలి 1701ను వదలదు, కాబట్టి లేని మార్గ వడపోతను వెతకవద్దు.
ప్రతి పొర నిజంగా ఏమి కలిగి ఉంటుంది
IPsec రెండు సహచరుల మధ్య ప్యాకెట్లను రక్షిస్తుంది; L2TP ఆ రక్షిత మార్గం లోపల PPP సెషన్ను తీసుకువెళుతుంది, అందుకే RFC 3193 సొంత సొరంగం బదులు రవాణా మోడ్ను నిర్దేశిస్తుంది. క్లయింట్ లేబుల్ L2TP అని చెబుతుంది, కాబట్టి సొరంగం మరియు లాగిన్ ఒకే యంత్రాంగంగా అనిపిస్తాయి. అలా కాదు: L2TP నియంత్రణ కనెక్షన్ అమలు దానిని ప్రారంభించిన చోట సొరంగం చివరలను ప్రామాణీకరిస్తుంది, PPP సర్వర్ విధానం ప్రకారం CHAP, PAP లేదా MS-CHAPv2తో వినియోగదారుని విడిగా ప్రామాణీకరిస్తుంది.
ఈ విభజన ప్రజలు నిరంతరం గందరగోళపరచుకునే రెండు రహస్యాలను వివరిస్తుంది. ముందస్తు పంచుకున్న కీ IPsec సహచరులను ప్రామాణీకరిస్తుంది. వినియోగదారు పేరు మరియు పాస్వర్డ్ వినియోగదారుని PPPకి గుర్తిస్తాయి. సర్టిఫికెట్లతో ప్రామాణీకరించే ప్రొఫైల్లో Windows పంచుకున్న రహస్యాన్ని మళ్లీ టైప్ చేయడం విఫలమయ్యే దశలో ఏమీ మార్చదు, PPP పాస్వర్డ్ను సవరించడం తప్పిపోయిన రక్షిత ఛానెల్ను ఇవ్వలేదు. అదే సంయమనం గుర్తింపు తనిఖీకి కూడా వర్తిస్తుంది: సొరంగం పొందడానికి సహచరుని గుర్తింపు లేదా సర్టిఫికెట్ ధృవీకరణను ఆఫ్ చేయవద్దు, ఎందుకంటే అప్పుడు కలిసేది మార్గం, సహచరుడు కాదు.
ప్రామాణీకరణ కూడా PPP ముగింపు కాదు. వినియోగదారు ఆమోదించబడిన తర్వాత IPCP క్లయింట్ చిరునామా మరియు సర్వర్ ఇవ్వడానికి సిద్ధంగా ఉన్న DNS మరియు WINS ఎంపికలను చర్చిస్తుంది. క్లయింట్ CHAP లేదా MS-CHAPv2 దాటి కూడా చిరునామా లేకుండా ముగియవచ్చు, ఇది PPP లోపలి వైఫల్యం, మార్గ నిర్దేశన సమస్య కాదు. IPsec లేని సాదా L2TP చెల్లుబాటు అయినదిగా మరియు అసంరక్షితంగా ఉంటుంది, కాబట్టి విజయవంతమైన కనెక్షన్ ట్రాఫిక్ రక్షితమని ఎప్పుడూ నిరూపించదు; సర్వర్ ఏమి కోరుతుందో తనిఖీ చేయండి, క్లయింట్ లేబుల్ కాదు.
మొదటి తప్పిపోయిన దశ నుండి నిర్ణయించండి
పట్టికను మొదటి తప్పిపోయిన అంశం ప్రకారం ఎడమ నుండి కుడికి చదవండి. కుడి నిలువు వరుస ఆ క్షణంలో విలువైన ఏకైక పని; దానికి ఎడమవైపు ఉన్నదంతా ఇప్పటికే నిరూపితమైంది, మళ్లీ పరీక్షించడం సమాచారం జోడించకుండా అంతరాయ విండోను కాల్చేస్తుంది.
| First thing missing | What it means | Change this |
|---|---|---|
| No IKE reply on 500 or 4500 | The path or the listener never answered | Firewall, NAT-T forwarding, server listener |
| IKE runs, no IPsec association | Identity, key, or proposal mismatch | Proposal and PFS set, pre-shared key, local and remote ID |
| Association up, no L2TP control connection | Inner signalling never reached xl2tpd | UDP 1701, tunnel and session sections, NAT encapsulation |
| Control connection up, PPP auth refused | The user or method was rejected | Credential format, allowed auth method, account policy |
| PPP auth accepted, no address assigned | IPCP never completed | Address pool in xl2tpd.conf, ms-dns and ms-wins in options.xl2tpd |
| Address assigned, applications fail | The inner path is wrong | Routes, DNS, MTU or MSS, server forwarding |
మూడు వరుసలు హెచ్చరికకు అర్హం. 1701 వరుస NAT వెనుక ఉన్న Windows క్లయింట్లు సాధారణంగా దిగే స్థలం: సంఘం పూర్తవుతుంది, తర్వాత ఏమీ రాదు, కారణం చెడ్డ పాస్వర్డ్ కాదు, ఎన్క్యాప్సులేషన్. IPCP వరుస మార్గ సమస్యగా తప్పుగా చదవబడేది, ఎందుకంటే Windows తప్పిపోయిన చిరునామాను లోపం 720లో చుట్టుతుంది మరియు ట్రే చిహ్నం కనెక్షన్ విఫలమైందని మాత్రమే చెబుతుంది; ఆ వైఫల్యం ప్రామాణీకరణ తర్వాత మరియు మార్గ నిర్దేశనానికి ముందు ఉంటుంది. చివరి వరుస IPsec వైఫల్యమే కాదు, చిహ్నం డిస్కనెక్ట్ అని చెప్పినా.
పొరలను వేరు చేసే ఆదేశాలు
strongSwan నడిచే Linux సర్వర్లో swanctl --list-sas ఏర్పాటైన సంఘాలను సహచరుని గుర్తింపుతో జాబితా చేస్తుంది, ipsec statusall పాత strongSwan మరియు libreswan హోస్ట్లను కవర్ చేస్తుంది. దాని క్రింద ip xfrm state కర్నెల్ యొక్క నిజమైన సంఘాలను చూపిస్తుంది, ss -lunp | grep 1701 xl2tpd ఎక్కడ కట్టుబడిందో నిరూపిస్తుంది. నియంత్రణ కనెక్షన్లు మరియు కాల్స్ రావడం చూడటానికి xl2tpd -D ను ముందు నడపండి, సూచించిన పద్ధతి మరియు సమాధానం చూడటానికి /etc/ppp/options.xl2tpd లో pppd డీబగ్ ఆన్ చేయండి.
లాగ్లు విజయవంతమైన ప్రామాణీకరణను చూపిన తర్వాత తదుపరి ప్రశ్న IPCP పూర్తయిందా అనేది. /etc/xl2tpd/xl2tpd.conf యొక్క [lns default] విభాగంలో ip range కు ఇంకా ఖాళీ చిరునామాలు ఉన్నాయా, క్లయింట్ ఆశించినట్లయితే /etc/ppp/options.xl2tpd నిజంగా ms-dns మరియు ms-wins ను కలిగి ఉందా తనిఖీ చేయండి. ఖాళీ అయిన పూల్ మరియు తప్పిపోయిన DNS ఎంపిక తీగపై వేరుగా కనిపిస్తాయి: మొదటిది క్లయింట్ను చిరునామా లేకుండా, 720తో వదిలేస్తుంది, రెండవది చిరునామా ఇస్తుంది కానీ పరిష్కర్త ఇవ్వదు, కాబట్టి పేర్లు విఫలమవుతాయి, ముడి చిరునామాలకు ping పని చేస్తుంది. రెండూ పాస్వర్డ్ను మళ్లీ నమోదు చేయడం ద్వారా సరికావు.
క్లయింట్లో NetworkManager యొక్క L2TP ప్లగిన్ pppd సంభాషణను జర్నల్లో రాస్తుంది, కాబట్టి journalctl -u NetworkManager -b సాధారణంగా సొరంగం పైన, ప్రామాణీకరణ తిరస్కరించబడింది స్థితిని సొరంగం అసలే లేదు స్థితి నుండి వేరు చేస్తుంది. Windowsలో Get-VpnConnection ప్రొఫైల్ యొక్క నిజమైన ప్రామాణీకరణ సెట్టింగ్లను నివేదిస్తుంది, Event Viewerలో Application క్రింద RasClient ఈవెంట్లు విఫలమైన భాగాన్ని పేర్కొంటాయి. సంభాషణ చాలా అస్పష్టంగా ఉంటే netsh ras set tracing * enable ను ప్రారంభించండి.
క్యాప్చర్కు ఒక జాగ్రత్త అవసరం. రవాణా మోడ్ IPsecతో లోపలి UDP 1701 గూఢలిపి చేయబడి ఉంటుంది, కాబట్టి బయటి ఇంటర్ఫేస్పై క్యాప్చర్ ESPను చూపిస్తుంది, లేదా NAT-T క్రింద UDP 4500ను, L2TP అసలే చూపదు. క్యాప్చర్లో 1701 లేకపోవడం ఆశించినది, నిరోధించిన పోర్ట్కు సాక్ష్యం కాదు; ESP లేదా 4500 కౌంటర్లు కదులుతున్నాయా చూడండి.
NAT, MTU మరియు మార్గాలు: స్టాక్ మిమ్మల్ని ఎక్కడ తప్పుదారి పట్టిస్తుంది
ఏదీ ప్రామాణీకరించబడక ముందే NAT ఊహలను బద్దలు కొట్టిస్తుంది. ESP సొంత IP ప్రోటోకాల్, కాబట్టి అనువదించే పరికరం సహచరులు ఎన్క్యాప్సులేట్ చేయకపోతే దాన్ని పారేస్తుంది; UDP 4500 అదే అందిస్తుంది. తానే గృహ రౌటర్ లేదా క్లౌడ్ NAT గేట్వే వెనుక ఉన్న Windows సర్వర్లో IPsec దశ లోపం 789తో విఫలమవుతుంది, PolicyAgent కీ క్రింద AssumeUDPEncapsulationContextOnSendRule ను 2కి సెట్ చేసి యంత్రం పునఃప్రారంభమయ్యే వరకు, మరియు వైఫల్యం మూసిన పోర్ట్ నుండి వేరు చేయలేనిదిగా ఉంటుంది. NAT వెనుక క్లయింట్లు సులభం: సర్వర్పై పబ్లిక్ చిరునామా ఉంటే UDP 4500పై NAT-T వారిని తీసుకువెళుతుంది, ఆ విలువ పాల్గొనదు.
PPP పైకి వచ్చిన తర్వాత నల్ల రంధ్రం MTU చనిపోయిన సొరంగాన్ని అనుకరిస్తుంది: చిన్న ప్యాకెట్లు దాటుతాయి, TLS కరచాలనం లేదా పేజీ లోడ్ వేలాడుతుంది, క్లయింట్ ఇంకా కనెక్ట్ అయినట్లు చూపవచ్చు. సర్వర్ను నిందించే ముందు ఇంటర్ఫేస్ MTUను తగ్గించండి లేదా గేట్వేపై MSSను బిగించండి. విభజిత సొరంగ మార్గ నిర్దేశన మరొక మోసగాడు; తప్పు మాస్క్తో నెట్టబడిన సబ్నెట్ సొరంగాన్ని ఆరోగ్యకరంగా, ఒక అనువర్తనాన్ని చేరుకోలేనిదిగా ఉంచుతుంది. ప్రైవేట్ హోస్ట్నామ్ దాని సొంత అడుగు జోడిస్తుంది: ప్రశ్న స్థానిక పరిష్కర్త ద్వారా బయటకు వెళితే, ఏ మార్గమూ పరీక్షించబడక ముందే పేరు పరిష్కారం కాదు.
రహస్యాలు తాకే ముందు తనిఖీ జాబితా
జాబితాను క్రమంగా చేయండి మరియు మొదటి విఫల అంశం వద్ద ఆగండి. ప్రతి అడుగు చవకైనది, ప్రతి ఒక్కటి మొత్తం సవరణల వర్గాన్ని మినహాయిస్తుంది.
- సంఘం రెండు చివరలా ఉందని నిర్ధారించండి, కనెక్ట్ అయిన లేబుల్తో కాదు, సహచరుని గుర్తింపుతో సరిపోల్చి.
- UDP 1701 xl2tpdను చేరుతుందని నిర్ధారించండి; కాల్ లేని సంఘమే మీ వైఫల్యం.
- పాస్వర్డ్ తప్పు అని ఊహించే ముందు PPP తీర్పును, ప్రామాణీకరించినట్లయితే IPCP ఫలితాన్ని చదవండి.
- ఇప్పుడే రహస్యాలను సర్వర్ ఆశించే ఆకృతిలో మళ్లీ నమోదు చేయండి, ఎందుకంటే డొమైన్ ఉపసర్గ ఖాతాను మారుస్తుంది.
- ఇంకా విఫలమైతే రెండు చివరలను సమలేఖనమైన సమయ ముద్రలతో క్యాప్చర్ చేసి దశలవారీగా పోల్చండి.
రెండవ అడుగు వద్ద ఆగడం మార్గం లేదా ఎన్క్యాప్సులేషన్ సమస్య, పాస్వర్డ్ సవరణ ఏదీ దాన్ని కదిలించదు. మూడవ అడుగు వద్ద ఆగడం అంటే లాగ్ ఇప్పటికే సరిచేయాల్సిన పద్ధతిని లేదా చిరునామా పూల్ను పేర్కొంది. ఏదేమైనా తదుపరి మార్పు మీరు సమర్థించగలిగేది, ఎప్పుడూ పాల్గొనని సెట్టింగ్ల చుట్టూ తిరగడం ఆపేస్తారు.