Error 789 ng L2TP/IPsec sa Windows: gumawa ng profile at i-pin ang panukala

Ang error 789 sa isang koneksyon na L2TP sa Windows ay nangangahulugang namatay ang tunel sa loob ng palitan ng seguridad ng IPsec, na nangyayari bago pa man magpadala ang Windows ng password ng user kahit saan. Ang muling pagsubok sa password, o pag-reset nito sa direktoryo, ay hindi makakapagpaabante sa yugtong iyon. Ang makakapagpaabante dito ay ang muling pagbuo ng koneksyon mula sa PowerShell gamit ang panukalang aktuwal na iniaalok ng gateway, dahil tahimik na pinipili ng wizard ng Mga Setting ang mga pagbabago ng IPsec at hindi kailanman ipinapakita sa iyo kung ano ang pinili. Ito ang runbook para doon: gumawa ng profile, i-pin ang panukala, at gamitin ang talahanayan ng yugto upang may masabi sa iyo ang susunod na code.

Gumawa ng profile nang walang wizard

Add-VpnConnection ay nagsusulat ng native na entry sa libro ng telepono, kaya ang resulta ay ang parehong bagay na i-edit ng app na Mga Setting mamaya. Patakbuhin ito mula sa isang naka-elevate na session kapag kailangang umiral ang koneksyon para sa bawat account sa machine, o mula sa konteksto ng user kapag kailangan itong manatiling pribado:

Add-VpnConnection -Name "Contoso L2TP" `
  -ServerAddress 203.0.113.10 `
  -TunnelType L2tp `
  -EncryptionLevel Required `
  -AuthenticationMethod MSChapv2 `
  -RememberCredential -Force

Itugma ang -AuthenticationMethod sa iniaalok ng gateway. Ang MSChapv2, EAP at PAP ay hindi mapagpapalit, at ang profile na humihingi ng paraang hindi tatanggapin ng server ay nabibigo bago pa man tingnan ang anumang talaan ng user. Panatilihin ang -EncryptionLevel Required para sa anumang tunay; pinapayagan ng Optional ang Windows na tumanggap ng tunel na walang encryption kung may iniaalok ang kabilang panig, na isang shortcut sa laboratoryo at hindi setting na ipapadala.

Kung ipapasa mo ang -L2tpPsk, ang paunang ibinahaging key ay isinusulat sa profile sa disk, mula saan mababawi ito ng sinumang makabasa ng profile sa machine na iyon. Gumamit ng sertipiko para sa pagpapatotoo ng kabilang panig kapag sinusuportahan ito ng gateway, at kapag hindi maiiwasan ang PSK, itago ito sa labas ng repository at sa labas ng kasaysayan ng shell sa halip na i-paste ito sa bawat pagpapatakbo ng provisioning.

I-pin ang panukala sa halip na tanggapin ang mga default

Pinupuno mismo ng Windows ang mga pagbabago ng IPsec, kaya ang dalawang machine na may koneksyong mukhang pareho ay maaaring mabigo nang iba laban sa parehong gateway. Ang Set-VpnConnectionIPsecConfiguration ay ang sinusuportahang paraan upang i-pin ang mga ito:

Set-VpnConnectionIPsecConfiguration -ConnectionName "Contoso L2TP" `
  -AuthenticationTransformConstants SHA256128 `
  -CipherTransformConstants AES128 `
  -EncryptionMethod AES128 `
  -IntegrityCheckMethod SHA256 `
  -DHGroup Group14 `
  -PfsGroup None `
  -PassThru -Force

Ang set na iyon ay isang karaniwang kaayusan ng L2TP/IPsec, hindi isang pangkalahatang sagot. Tumatanggap ang bawat parameter ng nakapirming listahan ng mga halaga, at ang kombinasyong hindi kayang i-map ng platform ay bumabalik bilang error ng cmdlet sa halip na tahimik na pinalambot na profile. Ituring ang gayong error bilang pahayag tungkol sa mga halaga, hindi tungkol sa iyong mga pahintulot.

Kopyahin ang panukala mula sa dokumentasyon ng gateway o mula sa mga live na setting nito sa yugto 1 at yugto 2, at baguhin ang isang field sa isang pagkakataon lamang habang nirerehistro ng gateway ang mga pagbabagong tinatanggihan nito. Ang pagdaan sa limang field ay gumagawa ng koneksyong gumagana nang aksidente at rekord na walang naipapaliwanag sa susunod na tao.

Basahin ang kabiguan ayon sa yugto, hindi ayon sa teksto ng error

Ang 789 ay kabilang sa pamilya ng mga code na mukhang pareho lahat sa dialog ng client. Ilagay ang code sa harap ng yugtong kinabibilangan nito bago mo muling hawakan ang profile:

Mahalaga dito ang dalawang tungkulin ng mga kredensyal. Ang paunang ibinahaging key o sertipiko ay nagpapatotoo sa mga panig sa isa't isa, habang ang MSChapv2 o EAP ay nagpapatotoo sa iyo sa loob ng tunel. Ang pag-reset ng password ng user ay hindi makapag-aayos ng una, ang bagong ibinahaging lihim ay hindi makapag-aayos ng pangalawa, at ang pagbabago ng pareho nang sabay ay sumisira sa ebidensya kung alin ang mali.

Sa landas ng sertipiko, suriin ang orasan ng client, ang chain ng tiwala at ang pagkakakilanlang inaasahan ng gateway bago isaalang-alang ang pagluwag ng validation. Ang pag-off ng validation ay ginagawang tunel na kumokonekta habang nagtitiwala sa maling panig ang nakikitang 789, at walang anuman sa client ang magsasabi sa iyo na nangyari iyon. listahan ng mga error sa remote access ng Microsoft ang sanggunian para sa mga code mismo, at hinihiwalay nito ang mga kabiguan sa antas ng seguridad mula sa mga kabiguan sa pag-log on.

I-verify mula sa magkabilang dulo bago sabihing naayos na

Basahin pabalik ang profile, ngunit huwag asahan ang panukala sa output. Iniulat ng Get-VpnConnection ang pangalan, address ng server, uri ng tunel, antas ng encryption at paraan ng pagpapatotoo, at wala itong alam tungkol sa mga pagbabago, kaya kinukumpirma ng pagbasa na umiiral ang entry at tumuturo sa tamang host:

Get-VpnConnection -Name "Contoso L2TP" |
  Select-Object Name, ServerAddress, TunnelType, EncryptionLevel, AuthenticationMethod

I-dial mula sa command line upang makakuha ng numero sa halip na dialog: ibinabalik ng rasdial "Contoso L2TP" ang parehong code ng kabiguan na ibabalik ng interface, at binubura ito ng rasdial "Contoso L2TP" /disconnect sa pagitan ng mga pagtatangka. Pagkatapos basahin ang panig ng gateway para sa parehong pagtatangka. Ang ipsec statusall ng strongSwan o log ng IKE ng router ay nagsasaad kung aling panukala ang dumating at alin ang tinanggihan, at ang paghahambing nito sa mga halaga ng cmdlet ang tanging hakbang na talagang nagpapatunay na nagkasundo ang dalawang dulo.

Ang matagumpay na koneksyon ay hindi ang finish line. Buksan ang application na pinahahalagahan ng user, dahil ang mga ruta, itinulak na DNS at mga setting ng split tunnel ay nabibigo pagkatapos umangat ang tunel at wala talagang dialog ng error.

I-automate ito, at bumalik nang malinis

Ang hindi binabantayang setup ang dahilan ng pag-script nito, at ang hakbang ng pag-dial ang lugar kung saan tumutulo ang mga kredensyal. Kinukuha ng rasdial ang mga ito sa sarili nitong command line, kung saan mababasa ng ibang lokal na user at ng karamihan ng mga kolektor ng log:

subprocess.run(["rasdial", "Contoso L2TP"], check=True)

Mas piliin ang kredensyal na limitado sa account na nagpapatakbo ng trabaho, o hayaang iimbak ito ng profile gamit ang -RememberCredential, sa halip na ipasa ang password bilang argumento sa naka-iskedyul na gawain. Ang mga utos ng provisioning mismo ay ligtas na ulitin gamit ang -Force, ngunit masaya nilang patong ang lumang panukala, kaya ang muling pagpapatakbo ay nakakatulong lamang kung dala ng script ang kasalukuyang mga halaga.

Nagpapatuloy ang mga profile sa mga restart at nabubuhay nang mas matagal kaysa sa configuration ng gateway na ginawan nila. Kapag gumalaw ang panukala ng gateway, alisin ang entry at muling gawin ito sa halip na magpatong ng pangalawang set ng mga halaga: Remove-VpnConnection -Name "Contoso L2TP" -Force, pagkatapos ulitin ang dalawang cmdlet gamit ang bagong set.

Isara ang loop gamit ang apat na pagsusuring naninirahan sa tabi ng script: ipinapakita ng Get-VpnConnection ang inaasahang uri ng tunel at antas ng encryption; nirerehistro ng gateway ang natapos na yugto 1 at yugto 2 para sa address ng iyong client; ibinabalik ng rasdial ang tagumpay at bumubukas ang app; at tumutugma ang panukalang naitala sa script sa kasalukuyang setting ng gateway. Kapag dumating ang susunod na 789, ang paghahambing na iyon ay tumatagal ng ilang minuto sa halip na isang hapon.