L2TP/IPsec PSK rədd edildi: əvvəl dialoqu, sonra faylları yoxlayın

İnzibatçının mesajındakı əvvəlcədən paylaşılan açarı NetworkManager dialoquna yapışdırır, onu göstərmək üçün qutunu işarələyirsiniz və açar hərf-hərf uyğun gəlir. Bağlantı yenə də tunel qalxmadan autentifikasiya xətası ilə bitir. Bunu ilk dəfə görəndə açarın səhv olduğunu düşündüm; belə deyildi. Daemonun faktiki olaraq nə oxuduğunu başqa iki şey həll edir: plaqinin həmin bağlantı üçün yazdığı sirlər faylı və dəyərin dialoqdan dəyişmədən keçib-keçmədiyi.

Aşağıdakı gedişat açarı sahədən fayla qədər izləyir və itkinin harada olduğunu bildirən sıra elə budur. Bunu işləyən maşında deyil, uğursuz olan maşında edin, çünki bu iki maşın arasındakı fərq adətən açar deyil, fayl düzümüdür.

Dialoqdan başlayın, amma sahəyə etibar etməyin

Bağlantının IPsec nişanını açın və açarı yapışdırmaq əvəzinə yenidən yazın. Çat mesajından, PDF-dən və ya parol menecerindən kopyalanan açar sahənin göstərmədiyi sonda sətir keçidi ilə gələ bilər və görünən simvollar yenə düzgün görünür.

Parolu göstər düyməsini basın və sətrin ortasına deyil, sonuna baxın. Əgər kursor mətnin altında boş sətir qoyursa, onu silin və sonuncu simvolu yenidən yazın. Bu tək düzəliş bu şikayətlərin heyrətamiz bir hissəsini həll edir və hər hansı jurnalı oxumaqdan daha az vaxt aparır.

Açar uzun sətirləri bükən bilet sistemindən gəlibsə, onu bükməyən kanaldan istəyin. İki sətri yan-yana gözdən keçirmək əvəzinə uzunluqları inzibatçı ilə müqayisə edin; bükmə nöqtəsində itən simvol mütənasib şriftdə görünmür.

/etc/ipsec.d içinə açarı izləyin

Plaqin PSK-nı IPsec daemonuna əmr sətrində arqument kimi heç vaxt vermir. Bunun əvəzinə dəyəri bir sirlər faylında saxlayır və daemonun həmin faylı götürməsini təşkil edir, yoxdursa /etc/ipsec.secrets faylına include sətri əlavə edir. Dialoqda saxlanan şey həmin yaradılmış fayl üçün girişdir, istifadədə olan dəyər deyil.

Nəyisə dəyişməzdən əvvəl mövcud olanları sadalayın:

ipsec --version
sudo ls -l /etc/ipsec.d/*.secrets /etc/ipsec.d/ipsec.nm-l2tp.secrets 2>/dev/null
sudo grep -n "include" /etc/ipsec.secrets

Plaqinin köhnə buraxılışları hər bağlantı üçün bir fayl yazırdı, bağlantının UUID-si ilə adlandırılmış, məsələn /etc/ipsec.d/nm-l2tp-ipsec-<uuid>.secrets. Appletdə profil silmək həmin faylı etibarlı şəkildə silmir. Əvvəlki serverdən qalan köhnə fayl hələ diskdədirsə və hələ include olunursa, daemon artıq istifadə etmədiyiniz profilə aid sirr seçə bilər və görünən sahə düzgün olduğu halda bağlantı uğursuz olur.

1.2.12 dəyişikliyinin yeniləmələrə nə etdiyini anlayın

Plaqin 1.2.12 versiyası hər bağlantı üçün ayrı sirlər fayllarını tək bir ortaq faylla əvəz etdi: /etc/ipsec.d/ipsec.nm-l2tp.secrets. Yeniləmə köhnə UUID üzrə faylları təmizləmir və mövcud include /etc/ipsec.d/*.secrets sətri onları hələ də daxil edir. 1.2.16 versiyası defolt təklif emalını dəyişdi, sirlərin düzümünü yox.

Bu tarixçə eyni profil kimi görünən iki maşının niyə fərqli davrandığını izah edir. Açar eynidir; daemonun daxil etdiyi fayllar çoxluğu isə eyni deyil. Yetim faylı çıxararkən onu silmək əvəzinə kənara köçürün, bağlantını təsdiqləyin, işlək vəziyyət qeyd olunduqdan sonra silin. Adını dəyişmək köhnə dəyəri geri qaytarıla bilən saxlayır, əgər nasazlıq başqa yerdə olsa.

Yaddaş formatının daşıya bilmədiyi simvolları ayırın

Ortaq sirr sətri üçün strongSwan sənədləri dəyərin sətir keçidi və ya ikiqat dırnaq işarəsi ehtiva edə bilmədiyini bildirir. Sənəddən yapışdırılan açar adi dialoqda heç bir vizual fərq olmadan hər ikisini daşıya bilər.

1.2.12-dən bəri saxlanan dəyər sadə mətn deyil. Plaqin PSK-nı fayla çatmazdan əvvəl base64 ilə kodlayır və buraxılış qeydləri ikiqat dırnaq işarəsinin artıq açarda məqbul olmasının səbəbi kimi həmin kodlamanı göstərir. Ona görə sahəyə yazılan dırnaq təmsil oluna bilir; eyni şey hər nəzarət simvolu üçün doğru deyil.

Uzunluq başqa bir məhdudiyyətdir. L2TP/IPsec proqramları üzrə universal minimum yoxdur: bəzi müştərilər iyirmi simvoldan qısa açarları qəbul edir, bəzi şlüzlər isə minimum tətbiq edir. Qısa açar rədd edilirsə, qayda server siyasətinə və ya həmin müştərinin yoxlamasına aiddir və yerli olaraq bir şeyi artırmaq bunu dəyişməyəcək.

Hansı autentifikasiya qatının uğursuz olduğunu oxuyun

Əvvəlcə ipsec --version işə salın, çünki strongSwan və Libreswan fərqli fayl adları və sintaksis işlədir və biri üçün verilən məsləhət digərinə ziyan vura bilər. Sonra uğursuzluq mərhələsini müştərinin mesajından və ya daemon jurnalından oxuyun: əvvəlcədən paylaşılan açar barədə şikayət istifadəçi adı və parolun rədd edilməsindən fərqli hadisədir.

PSK tunel son nöqtələrini autentifikasiya edir. İstifadəçi adı və parol L2TP daxilindəki şəxsi autentifikasiya edir və PPP onlarla IPsec assosiasiyası qalxdıqdan sonra məşğul olur. Düzgün PSK səhv hesabla yenə uğursuz olur və hesabı dəyişmək daemonun heç vaxt düzgün oxumadığı açarı bərpa etməyəcək.

Bileti bağlayarkən dörd şeyi də yazın: plaqin versiyası, istifadədə olan sirlər faylı, açarın yenidən yazıldığı və ya yapışdırıldığı və xətada adı çəkilən qat. Sonra bu gedişatı təkrarlayan hər kəs işləyən və uğursuz maşın arasındakı fərqə birbaşa keçə bilər.