IKEv2 mübadiləsi işləyir, sonra autentifikasiya uğursuz olur: harada

IKEv2 cavabı alan müştəri şlüzun əlçatan olduğunu, hər iki tərəfin təklif üzərində razılaşa bildiyini və ilkin açar mübadiləsinin tamamlandığını sübut etmiş olur. Lakin heç kimin autentifikasiya olunduğunu sübut etmir. Növbəti mübadilə şəxsiyyətləri, sertifikatları və ya EAP-ı daşıyır və adətən əlaqə məhz burada dayanır. Bu yoxlamalardan hansının uğursuz olduğunu oxumaq bütün diaqnozdur və xəta mesajı bunu təkbaşına nadir hallarda deyir.

Yoxlama 1: mesajı deyil, mərhələni oxuyun

İmtina üç yerdən gələ bilər: müştərinin serverin şəxsiyyətini rədd etməsi, şlüzun müştərinin sübutunu rədd etməsi və xarici autentifikasiya xidmətinin hesabı rədd etməsi.

Hər biri fərqli maşında fərqli jurnal sətri yaradır və hər birinin fərqli düzəlişi var. Server sertifikatının müştəri tərəfindən rədd edilməsi müştəridə etimad və ya adlandırma problemidir; müştəri sertifikatının şlüz tərəfindən rədd edilməsi şlüzda etimad problemidir; EAP nasazlığı hesab və ya backend problemidir. Gördüyünüz mesaj adətən müştərinin bunlardan birinin xülasəsidir və buna görə şlüz jurnalı müştərininki qədər vacibdir.

Yoxlama 2: hansı şəxsiyyət yoxlanıldı

Müştəri hər hansı istifadəçi etimadnaməsi təqdim edilməzdən əvvəl server sertifikatını və ya gözlənilən şəxsiyyəti rədd edə bilər və işləyən server ünvanı bu yoxlamanın əvəzi deyil. Müştərinin gözlədiyi identifikator şlüzun təqdim etdiyi ilə uyğun olmalıdır, bu isə şəbəkə deyil, konfiqurasiya faktıdır.

strongSwan terminologiyasında bu, rightid müştəridə, digər tərəfdə isə şlüzun öz şəxsiyyətidir və uyğunsuzluq EAP müzakirə olunmadan əvvəl uğursuzluğa səbəb olur.

Şlüz ayrıca müştərinin sertifikatını, açar sübutunu və ya hesab autentifikasiyasını rədd edə bilər və bu üçü bir-birini əvəz etmir. İstifadəçi parolunun sıfırlanması cihaz sertifikatını yeniləyə bilməz və cihaz sertifikatının yenidən quraşdırılması səhv server şəxsiyyətini düzəldə bilməz. Sertifikat nasazlıqlarında əvvəlcə saata, sonra etimad zəncirinə, sonra gözlənilən identifikatora baxın; saatı bir neçə dəqiqə qaçan müştəri etimad nasazlığına bənzəyən etibarlılıq yoxlamasında uğursuz olur. swanctl --list-certs hər iki tərəfdə hər tərəfin həqiqətən nə saxladığını göstərir.

Yoxlama 3: EAP işə düşübsə

Müştəri ilə server dəstəklənən üsul barədə razılaşmalı, backend isə təqdim edilən şəxsiyyəti qəbul etməlidir.

İstifadəçi adı yerləşdirmənin tələb etdiyi domen şəkilçisi və ya xüsusi hesab formatı tələb edə bilər və format təxmin edilən deyil, sənədləşdirilmişdir. Operatorun sənədləşdirilmiş sahələrini təqdim etmək variantları sınamaqdan daha sürətlidir və ikinci problemi də aradan qaldırır: təkrar cəhdlər hesabın bloklanmasına səbəb ola bilər və bu, ilkin mərhələni yeni nasazlığın arxasında gizlədir. Üsul kataloqa qarşı EAP-MSCHAPv2-dirsə, nasazlıq VPN-ə deyil, kataloqa aid ola bilər.

Şəxsiyyət problemlərini şəxsiyyət yoxlamalarını söndürməklə sınamayın. Bu, diaqnoz qoyula bilən nasazlığı diaqnoz qoyula bilməyən birinə çevirir və əlaqəni əvvəlkindən zəiflədir.

Yoxlama 4: uğurlu girişdən sonra nə baş verir

IKE_AUTH tamamlandıqdan sonra hansı trafik selektorlarının quraşdırılacağına CHILD_SA danışıqları qərar verir və əlaqənin uğur qazanıb heç nə ötürmədiyi yer məhz burasıdır.

Yeni işləyən giriş çox vaxt autentifikasiya nasazlığının arxasında gizlənmiş selektor və ya marşrut problemini üzə çıxarır. Tunel qalxsa və tətbiq hələ də təyinatına çata bilmirsə, yenidən şəxsiyyətə deyil, danışılmış selektorlara və marşrutlara baxın. O nöqtədə şəxsiyyət parametrlərini dəyişmək yanlış mərhələni hədəf alır və adətən işləyən girişi pozur. Bunu swanctl --list-sas ilə təsdiqləyin; bu, uşaqları və onların selektorlarını IKE SA-dan ayrı göstərir.

Yoxlama 5: dəstəyə nə təqdim etməli

Təmizlənmiş xronologiya və dəqiq imtina tam diaqnostik ixracdan daha dəyərlidir və ixrac paylaşmamalı olduğunuz şəxsi açarları və ya etimadnamələri ehtiva edə bilər.

Vaxtı saat qurşağı ilə, müştəri və şlüz versiyalarını, üsulu, parolu deyil təqdim edilən şəxsiyyət sətrini və onu rədd edən dəqiq mərhələni qeyd edin. strongSwan IKEv2 konfiqurasiya sənədləri bu nəticələri həll edən şəxsiyyət və EAP parametrlərini təsvir edir və hər hansı sahəni dəyişməzdən əvvəl oxunmalı mənbədir. Sonra bir şeyi dəyişin və təzə əlaqəni yenidən sınayın, çünki keşlənmiş sessiya sizə köhnə konfiqurasiyadan danışacaq.