Windows'da L2TP/IPsec 789 xatosi: profil yarating va taklifni mahkamlang
789 xatosi IPsec almashinuvida yuz beradi, parolda emas. L2TP profilini skript bilan yarating, taklifni mahkamlang va keyingi kodlarni bosqich bo‘yicha o‘qing.
Windows'dagi L2TP ulanishida 789 xatosi tunnel IPsec xavfsizlik almashinuvi ichida o'lganini bildiradi, bu esa Windows foydalanuvchi parolini biror joyga yuborishidan ancha oldin sodir bo'ladi. Parolni qayta urinish yoki uni katalogda tiklash bu bosqichni oldinga surmaydi. Uni oldinga suradigan narsa ulanishni PowerShell'dan shlyuz haqiqatan taklif qiladigan taklif bilan qayta qurishdir, chunki Sozlamalar ustasi IPsec o'zgarishlarini jimgina tanlaydi va nima tanlaganini hech qachon ko'rsatmaydi. Bu shu uchun qo'llanma: profil yarating, taklifni mahkamlang, so'ng bosqichlar jadvalidan foydalaning, shunda keyingi kod sizga biror narsa aytadi.
Profilni usta yordamisiz yarating
Add-VpnConnection mahalliy telefon kitobi yozuvini yozadi, shuning uchun natija Sozlamalar ilovasi keyinroq tahrirlaydigan o'sha obyekt bo'ladi. Ulanish mashinadagi har bir hisob uchun bo'lishi kerak bo'lsa, uni ko'tarilgan sessiyadan, yoki maxfiy qolishi kerak bo'lsa, foydalanuvchi kontekstidan ishga tushiring:
Add-VpnConnection -Name "Contoso L2TP" `
-ServerAddress 203.0.113.10 `
-TunnelType L2tp `
-EncryptionLevel Required `
-AuthenticationMethod MSChapv2 `
-RememberCredential -Force-AuthenticationMethod ni shlyuz taklif qiladigan narsaga moslang. MSChapv2, EAP va PAP bir-birining o'rnini bosmaydi, va server qabul qilmaydigan usulni talab qiladigan profil har qanday foydalanuvchi yozuviga qarashdan oldin muvaffaqiyatsiz bo'ladi. Har qanday haqiqiy narsa uchun -EncryptionLevel Required ni saqlang; Optional qarshi tomon taklif qilsa, Windows'ga shifrlanmagan tunnelni qabul qilishga ruxsat beradi, bu laboratoriya qisqartmasi, yuboriladigan sozlama emas.
Agar -L2tpPsk ni bersangiz, o'sha oldindan bo'lishilgan kalit diskdagi profilga yoziladi, u erdan o'sha mashinada profilni o'qiy oladigan har kim uni tiklay oladi. Shlyuz qo'llab-quvvatlasa, qarshi tomonni autentifikatsiya qilish uchun sertifikatdan foydalaning, va PSK muqarrar bo'lsa, uni har bir tayyorlash ishiga yopishtirish o'rniga ombor va shell tarixidan tashqarida saqlang.
Standart qiymatlarni qabul qilish o'rniga taklifni mahkamlang
Windows IPsec o'zgarishlarini o'zi to'ldiradi, shuning uchun bir xil ko'rinadigan ulanishga ega ikki mashina bir shlyuz oldida turlicha muvaffaqiyatsiz bo'lishi mumkin. Set-VpnConnectionIPsecConfiguration ularni mahkamlashning qo'llab-quvvatlanadigan usuli:
Set-VpnConnectionIPsecConfiguration -ConnectionName "Contoso L2TP" `
-AuthenticationTransformConstants SHA256128 `
-CipherTransformConstants AES128 `
-EncryptionMethod AES128 `
-IntegrityCheckMethod SHA256 `
-DHGroup Group14 `
-PfsGroup None `
-PassThru -ForceBu to'plam L2TP/IPsec ning bir keng tarqalgan joylashuvi, universal javob emas. Har bir parametr qat'iy qiymatlar ro'yxatini qabul qiladi, va platforma xaritalay olmaydigan kombinatsiya jimgina zaiflashtirilgan profil o'rniga cmdlet xatosi sifatida qaytadi. Bunday xatoni qiymatlar haqidagi bayonot deb qabul qiling, ruxsatlaringiz haqida emas.
Taklifni shlyuz hujjatlaridan yoki uning jonli 1 va 2-bosqich sozlamalaridan ko'chiring, va shlyuz rad etgan o'zgarishlarni jurnalga yozayotganda bir vaqtning o'zida faqat bitta maydonni o'zgartiring. Besh maydonni aylanib chiqish tasodifan ishlaydigan ulanish va keyingi odamga hech narsani tushuntirmaydigan yozuv yaratadi.
Muvaffaqiyatsizlikni xato matni bilan emas, bosqich bilan o'qing
789 mijoz muloqot oynasida hammasi bir xil ko'rinadigan kodlar oilasiga mansub. Profilga yana tegishdan oldin kodni u mansub bo'lgan bosqich qarshisiga qo'ying:
| What you see | Stage that failed | Check first |
|---|---|---|
| Nothing happens, then a timeout | No IKE response at all | Server address, UDP 500 and 4500 reachability, NAT traversal on the gateway |
| Error 789 | IKE security exchange | Proposal, pre-shared key, certificate trust and client clock |
| Error 691 or a repeated password prompt | User authentication | Account state, domain, RADIUS or NPS policy |
| Tunnel up, some hosts unreachable | Routing or DNS after PPP | Split-tunnel routes, pushed DNS, remote subnet mask |
Bu yerda hisob ma'lumotlarining ikki roli muhim. Oldindan bo'lishilgan kalit yoki sertifikat tomonlarni bir-biriga autentifikatsiya qiladi, MSChapv2 yoki EAP esa sizni tunnel ichida autentifikatsiya qiladi. Foydalanuvchi parolini tiklash birinchisini tuzata olmaydi, yangi umumiy sir ikkinchisini tuzata olmaydi, ikkalasini birga o'zgartirish esa qaysi biri xato bo'lgani haqidagi dalilni yo'q qiladi.
Sertifikat yo'lida tekshiruvni yumshatishni o'ylashdan oldin mijoz soatini, ishonch zanjirini va shlyuz kutgan identifikatsiyani tekshiring. Tekshiruvni o'chirish ko'rinadigan 789 ni noto'g'ri tomonga ishonib ulanadigan tunnelga aylantiradi, va mijozda hech narsa bu sodir bo'lganini sizga aytmaydi. Microsoft ning masofaviy kirish xatolari ro'yxati kodlarning o'zi uchun ma'lumotnoma, va u xavfsizlik qatlami nosozliklarini kirish nosozliklaridan ajratadi.
Tuzatilgan deb aytishdan oldin ikki tomondan ham tekshiring
Profilni qayta o'qing, lekin chiqishda taklifni kutmang. Get-VpnConnection nom, server manzili, tunnel turi, shifrlash darajasi va autentifikatsiya usulini xabar qiladi va o'zgarishlar haqida hech narsa bilmaydi, shuning uchun qayta o'qish yozuv mavjudligini va to'g'ri xostga ishora qilishini tasdiqlaydi:
Get-VpnConnection -Name "Contoso L2TP" |
Select-Object Name, ServerAddress, TunnelType, EncryptionLevel, AuthenticationMethodMuloqot oynasi o'rniga raqam olish uchun buyruq satridan qo'ng'iroq qiling: rasdial "Contoso L2TP" interfeys qaytaradigan bir xil nosozlik kodini qaytaradi, va rasdial "Contoso L2TP" /disconnect uni urinishlar orasida tozalaydi. So'ng o'sha urinish uchun shlyuz tomonini o'qing. strongSwan ipsec statusall yoki router IKE jurnali qaysi taklif kelganini va qaysi biri rad etilganini aytadi, va uni cmdlet qiymatlari bilan qiyoslash ikki tomon kelishganini haqiqatan isbotlaydigan yagona qadam.
Muvaffaqiyatli ulanish marra emas. Foydalanuvchi uchun muhim ilovani oching, chunki marshrutlar, itarilgan DNS va bo'lingan tunnel sozlamalari tunnel ko'tarilgandan keyin muvaffaqiyatsiz bo'ladi va hech qanday xato muloqot oynasi chiqarmaydi.
Uni avtomatlashtiring va toza orqaga qayting
Nazoratsiz o'rnatish buni skript qilishning sababi, va qo'ng'iroq bosqichi hisob ma'lumotlari oqadigan joy. rasdial ularni o'z buyruq satrida qabul qiladi, u erda boshqa mahalliy foydalanuvchilar va aksariyat jurnal yig'uvchilar ularni o'qiy oladi:
subprocess.run(["rasdial", "Contoso L2TP"], check=True)Ishni bajaradigan hisob bilan cheklangan hisob ma'lumotini afzal ko'ring, yoki rejalashtirilgan vazifada parolni argument sifatida berish o'rniga profil uni -RememberCredential bilan saqlashiga ruxsat bering. Tayyorlash buyruqlarining o'zi -Force bilan takrorlash uchun xavfsiz, lekin ular eski taklifni xursandchilik bilan ustiga yozadi, shuning uchun qayta ishga tushirish faqat skript joriy qiymatlarni olib yursa yordam beradi.
Profillar qayta yuklashlardan o'tadi va ular uchun qurilgan shlyuz konfiguratsiyasidan uzoqroq yashaydi. Shlyuz taklifi o'zgarganda, qiymatlarning ikkinchi to'plamini ustiga qatlamlash o'rniga yozuvni olib tashlang va uni qayta yarating: Remove-VpnConnection -Name "Contoso L2TP" -Force, so'ng ikkita cmdletni yangi to'plam bilan takrorlang.
Tsiklni skript yonida yashaydigan to'rtta tekshiruv bilan yoping: Get-VpnConnection kutilgan tunnel turi va shifrlash darajasini ko'rsatadi; shlyuz mijoz manzilingiz uchun tugallangan 1 va 2-bosqichni jurnalga yozadi; rasdial muvaffaqiyat qaytaradi va ilova ochiladi; va skriptda qayd etilgan taklif shlyuzning joriy sozlamasiga mos keladi. Keyingi 789 kelganda, bu qiyoslash tushdan keyin o'rniga bir necha daqiqa oladi.