المفتاح المشترك أم تسجيل دخول المستخدم: أي حقل في L2TP/IPsec فشل؟
المفتاح المشترك يثبت هوية النظير، بينما يثبت اسم مستخدم PPP وكلمة مروره هوية الشخص. ويخبرك رمز الخطأ أي الطبقتين تعطّلت.
يمكن لمكتب واحد أن يوزّع المفتاح السري نفسه على كل حاسوب محمول مع احتفاظ كل شخص بحساب فردي، ولهذا يمكن أن يكون «المفتاح صحيحًا» و«كلمة المرور صحيحة» معًا ومع ذلك يفشل تسجيل الدخول. L2TP وIPsec يصادقان على أطراف مختلفة في مراحل مختلفة. ومقارنة الطبقتين، مع رمز الخطأ الذي يفصل بينهما، تُنهي معظم هذه التذاكر أسرع من إعادة تبديل القيمتين معًا. المراحل غير قابلة للتبادل، والرسالة أمامك تقول بالفعل أيّها قيد التشغيل.
طبقتان وهويّتان مختلفتان
تبدأ مصادقة النظير في IPsec أولًا. يثبت العميل والبوابة هوية كل منهما للآخر، بمفتاح مشترك أو شهادة، قبل حماية أي حمولة في النفق. ثم يجري تبادل PPP داخل جلسة L2TP، وهناك يُفحص اسم المستخدم وكلمة المرور مقابل مخزن حسابات الخادم.
المراحل مستقلة، لذا لا يمكن لحساب مستخدم صالح أن ينقذ مفتاح IPsec خاطئًا، ولا يمكن لمفتاح صحيح أن ينقذ كلمة مرور منتهية. اكتب المرحلتين منفصلتين في التذكرة، فعادةً ما يسقط التشخيص من أول سطر في السجل يسمّي مرحلة.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
المفتاح المشترك يثبت النظير
المفتاح المشترك سابقًا بيانات اعتماد جماعية تحتفظ بها البوابة وكل عميل يتصل بها. وهو يثبت أن النظير يعرف المفتاح، ومنه يشتق IKE المفاتيح التي تحمي الاتصال. ولا شيء في ذلك التبادل يحدد هوية الإنسان على لوحة المفاتيح. ولهذا السبب بالضبط يوجد تسجيل دخول ثانٍ على مستوى المستخدم داخل النفق نفسه.
لهذا التصميم أثر عملي على الإبطال. فقدان حاسوب محمول واحد يعني تدوير السرّ لكل جهاز يستخدمه، إلا إذا انتقل النشر إلى الشهادات، حيث يمكن إزالة جهاز واحد دون المساس بالبقية. والمقايضة هي الجهد الإداري مقابل نطاق الأثر.
المفتاح المكتوب داخل ملف تعريف هو أيضًا أسهل بيانات اعتماد يمكن تسريبها عبر لقطات الشاشة والدردشة. تعامل معه كمواد بنية تحتية مشتركة لا ككلمة مرور شخصية، لأنه كذلك بالضبط.
تسجيل الدخول ينتمي إلى PPP
داخل جلسة L2TP يتفاوض PPP على المصادقة ويطلب من الخادم التحقق من القيمتين اللتين أدخلتهما. في Windows هما اسم المستخدم وكلمة المرور نفساهما اللذان يطلبهما ملف التعريف، وعلى الموجّه هما ما يشير إليه ملف تعريف PPP. ويُفحصان مقابل مخزن الحسابات، لا مقابل المفتاح. ويمكن لشخصين مشاركة حاسوب محمول ومفتاح ومع ذلك التمييز بينهما في هذه المرحلة.
ولأنها مصادقة مستخدم، تنطبق كل سياسات الحساب المعتادة: كلمة مرور منتهية، حساب مقفل، إذن اتصال هاتفي، أو اسم يجب أن يحمل نطاقًا. ويُبلّغ الخطأ 691 عن هذه التركيبة كمرفوضة، لذا اقرأ سجل المحاسبة في الخادم قبل إعادة كتابة أي شيء.
دع الخطأ يختار الحقل
الخطأ 789 يسمّي طبقة الأمان ويشير إلى مرحلة IPsec. تأكد من أن المفتاح المشترك على الجانبين متطابق تمامًا، وأن هوية النظير التي تتوقعها البوابة تطابق ما يرسله العميل، وأن العميل مهيأ لـ L2TP/IPsec لا لنوع آخر.
الخطأ 691 يسمّي بيانات الاعتماد ويشير إلى PPP. افحص حالة الحساب وصيغة الاسم الدقيقة قبل تغيير السرّ، لأن تغيير الاثنين معًا يدمّر الدليل الذي كنت تقرأه.
حين يرتفع النفق ويظل المرور متوقفًا، توقف كليًا عن تعديل حقول المصادقة. انظر إلى مجمّع العناوين، والمسار العائد إلى شبكة العميل الفرعية، وMTU: فمقارنة الطبقتين لا تفيد إلا ما دام العطل داخلهما.