Ortaq sirr, yoxsa istifadəçi girişi: L2TP/IPsec-də hansı sahə uğursuz oldu?
İlkin paylaşılan açar qarşı tərəfi təsdiqləyir, PPP istifadəçi adı və parol isə şəxsi. Xəta kodu iki qatdan hansının pozulduğunu deyir.
Bir ofis hər noutbuka eyni IPsec sirrini verə bilər, halbuki hər kəs fərdi hesabla daxil olur; buna görə də «açar düzdür» və «parol düzdür» eyni vaxtda doğru ola bilər, giriş isə yenə alınmır. L2TP və IPsec müxtəlif mərhələlərdə müxtəlif tərəfləri təsdiqləyir. İki qatın müqayisəsi və onları ayıran xəta kodu bu biletlərin çoxunu hər iki dəyəri yenidən dəyişməkdən tez bağlayır. Mərhələlər bir-birini əvəz etmir və qarşınızdakı mesaj artıq hansının işdə olduğunu deyir.
İki qat, iki fərqli kimlik
Əvvəlcə IPsec qarşı tərəfin autentifikasiyası işləyir. Müştəri və şlüz heç bir tunel yükü qorunmazdan əvvəl ilkin paylaşılan açar və ya sertifikatla bir-birinə kim olduqlarını sübut edir. L2TP sessiyası daxilində PPP mübadiləsi sonra baş verir və istifadəçi adınızla parolunuz məhz orada serverin hesab anbarına qarşı yoxlanılır.
Mərhələlər müstəqildir, ona görə etibarlı istifadəçi hesabı səhv IPsec açarını xilas edə bilməz, düzgün açar isə vaxtı keçmiş parolu xilas edə bilməz. Biletdə ikisini ayrı yazın və diaqnoz adətən mərhələni adlandıran ilk jurnal sətrindən çıxır.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Ortaq sirr qarşı tərəfi təsdiqləyir
İlkin paylaşılan açar şlüzün və ona qoşulan hər müştərinin saxladığı qrup etimadnaməsidir. O, qarşı tərəfin açarı bildiyini təsdiqləyir və IKE ondan bağlantını qoruyan açarları çıxarır. Bu mübadilədə klaviaturadakı insanı heç nə müəyyən etmir. Eyni tuneldə ikinci, istifadəçi səviyyəli girişin olmasının bütün səbəbi budur.
Bu dizaynın ləğvetmə üçün praktik nəticəsi var. Bir noutbukun itməsi ondan istifadə edən hər cihaz üçün sirrin dəyişdirilməsi deməkdir, əgər yerləşdirmə sertifikatlara keçmirsə; orada bir cihazı qalanlara toxunmadan çıxarmaq olar. Mübadilə inzibati işlə təsir radiusu arasındadır.
Profilə yazılan açar həm də ekran şəkilləri və çat vasitəsilə sızmağa ən açıq etimadnamədir. Ona şəxsi parol kimi deyil, ortaq infrastruktur materialı kimi baxın, çünki o, məhz budur.
Giriş PPP-yə aiddir
L2TP sessiyası daxilində PPP autentifikasiyanı razılaşdırır və serverdən yazdığınız iki dəyəri yoxlamağı xahiş edir. Windows-da bu, profilin tələb etdiyi həmin istifadəçi adı və paroldur; marşrutlaşdırıcıda isə PPP profilinə istinad etdiyi şeydir. O, açar deyil, hesab anbarına qarşı yoxlanılır. İki nəfər noutbuku və açarı paylaşa bilər və yenə də bu mərhələdə bir-birindən seçilir.
İstifadəçi autentifikasiyası olduğu üçün adi hesab siyasətlərinin hamısı tətbiq olunur: vaxtı keçmiş parol, kilidli hesab, daxil olma icazəsi və ya domen daşımalı olan ad. 691 xətası bu birləşməni rədd edilmiş kimi bildirir, ona görə hər hansı şeyi yenidən yazmazdan əvvəl serverin mühasibat qeydini oxuyun.
Sahəni xəta seçsin
789 xətası təhlükəsizlik qatını adlandırır və IPsec mərhələsini göstərir. Hər iki tərəfdə ilkin paylaşılan açarın tam üst-üstə düşdüyünü, şlüzün gözlədiyi qarşı tərəf kimliyinin müştərinin göndərdiyi ilə uyğun olduğunu və müştərinin başqa tipə deyil, L2TP/IPsec-ə konfiqurasiya edildiyini təsdiqləyin.
691 xətası etimadnamələri adlandırır və PPP-ni göstərir. Sirri dəyişməzdən əvvəl hesabın vəziyyətini və dəqiq ad formatını yoxlayın, çünki ikisini eyni vaxtda dəyişmək oxuduğunuz dəlili məhv edir.
Tunel qalxıb trafik yenə dayandıqda, autentifikasiya sahələrini tamamilə redaktə etməyi dayandırın. Ünvan hovuzuna, müştəri alt şəbəkəsinə qayıdan marşruta və MTU-ya baxın: iki qatın müqayisəsi yalnız nasazlıq hələ onların içində olanda kömək edir.