Gedeelde sleutel of gebruikersaanmelding: watter L2TP/IPsec-veld het gefaal?
’n Vooraf gedeelde sleutel bewys die eweknie, terwyl die PPP-gebruikersnaam en -wagwoord die persoon bewys. Die foutkode sê watter van die twee lae gebreek het.
Een kantoor kan dieselfde IPsec-geheim aan elke skootrekenaar gee terwyl elke persoon steeds met ’n eie rekening aanmeld, en daarom kan „die sleutel is reg” en „die wagwoord is reg” albei waar wees en die aanmelding steeds misluk. L2TP en IPsec verifieer verskillende partye in verskillende fases. ’n Vergelyking van die twee lae, en die foutkode wat hulle skei, sluit die meeste van hierdie kaartjies vinniger af as om albei waardes weer te ruil. Die fases is nie uitruilbaar nie, en die boodskap voor jou sê reeds watter een in die spel is.
Twee lae, twee verskillende identiteite
IPsec-eweknieverifikasie loop eerste. Die kliënt en die poort bewys aan mekaar wie hulle is, met ’n vooraf gedeelde sleutel of ’n sertifikaat, voordat enige tonnelvrag beskerm word. Die PPP-uitruiling binne die L2TP-sessie loop daarna, en dit is waar jou gebruikersnaam en wagwoord teen die bediener se rekeningstoor nagegaan word.
Die fases is onafhanklik, dus kan ’n geldige gebruikersrekening nie ’n verkeerde IPsec-sleutel red nie, en ’n korrekte sleutel kan nie ’n vervalde wagwoord red nie. Skryf die twee apart in die kaartjie en die diagnose val gewoonlik uit die eerste logreël wat ’n fase noem.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Die gedeelde sleutel bewys die eweknie
’n Vooraf gedeelde sleutel is ’n groepsbewys wat deur die poort en deur elke kliënt wat daaraan koppel, gehou word. Dit bevestig dat die eweknie die sleutel ken, en daaruit lei IKE die sleutels af wat die verbinding beskerm. Niks aan daardie uitruiling identifiseer die mens by die sleutelbord nie. Dit is die hele rede waarom ’n tweede, gebruikervlak-aanmelding in dieselfde tonnel bestaan.
Daardie ontwerp het ’n praktiese gevolg vir herroeping. Om een skootrekenaar te verloor beteken om die geheim vir elke toestel wat dit gebruik te roteer, tensy die ontplooiing na sertifikate skuif, waar ’n enkele toestel verwyder kan word sonder om die res te raak. Die ruil is administratiewe werk teen die omvang van die skade.
’n Sleutel wat in ’n profiel getik word, is ook die maklikste bewys om deur skermskote en klets te lek. Behandel dit as gedeelde infrastruktuurmateriaal eerder as as ’n persoonlike wagwoord, want dit is presies wat dit is.
Die aanmelding hoort by PPP
Binne die L2TP-sessie onderhandel PPP verifikasie en vra die bediener om die paar waardes wat jy getik het, te verifieer. Op Windows is dit dieselfde gebruikersnaam en wagwoord waarvoor die profiel vra, en op ’n router is dit wat die PPP-profiel verwys. Dit word teen die rekeningstoor nagegaan, nie teen die sleutel nie. Twee mense kan ’n skootrekenaar en ’n sleutel deel en steeds in hierdie fase van mekaar onderskei word.
Omdat dit gebruikersverifikasie is, geld al die gewone rekeningbeleide: vervalde wagwoord, geslote rekening, intoegangtoestemming, of ’n naam wat ’n domein moet dra. Fout 691 rapporteer daardie kombinasie as verwerp, so lees die bediener se rekeningkundige rekord voordat jy enigiets hertik.
Laat die fout die veld kies
Fout 789 noem die sekuriteitslaag en wys na die IPsec-fase. Bevestig dat die vooraf gedeelde sleutel aan albei kante presies ooreenstem, dat die eweknie-identiteit wat die poort verwag ooreenstem met wat die kliënt stuur, en dat die kliënt vir L2TP/IPsec gekonfigureer is eerder as vir ’n ander tipe.
Fout 691 noem bewyse en wys na PPP. Gaan die rekeningtoestand en die presiese naamformaat na voordat jy die geheim verander, want om albei gelyk te verander vernietig die bewyse wat jy gelees het.
Wanneer die tonnel opkom en verkeer steeds stop, stop heeltemal om verifikasievelde te redigeer. Kyk na die adrespoel, die roete terug na die kliënt-subnet, en die MTU: ’n vergelyking van die twee lae help net terwyl die fout nog binne hulle is.