Агульны сакрэт ці ўваход карыстальніка: якое поле L2TP/IPsec не спрацавала?
Папярэдне агучаны ключ даказвае вузел, а імя і пароль PPP — чалавека. Код памылкі паказвае, які з двух пластоў зламаўся.
Адзін офіс можа выдаць адзін і той жа сакрэт IPsec на кожны ноўтбук, а кожны чалавек пры гэтым уваходзіць праз асабовы ўліковы запіс, і менавіта таму «ключ правільны» і «пароль правільны» могуць быць абодва праўдай, а ўваход усё роўна не атрымліваецца. L2TP і IPsec аўтэнтыфікуюць розныя бакі на розных этапах. Параўнанне двух пластоў і код памылкі, які іх раздзяляе, закрываюць большасць такіх заявак хутчэй, чым чарговая замена абодвух значэнняў. Этапы не ўзаемазаменныя, і паведамленне перад вамі ўжо кажа, які з іх задзейнічаны.
Два пласты, дзве розныя асобы
Спачатку ідзе аўтэнтыфікацыя вузла IPsec. Кліент і шлюз даказваюць адзін аднаму, хто яны, з дапамогай папярэдне агучанага ключа або сертыфіката, перш чым будзь-якая карысная нагрузка тунэля будзе абаронена. Абмен PPP унутры сеанса L2TP ідзе пасля, і менавіта там ваша імя і пароль правяраюцца супраць сховішча ўліковых запісаў сервера.
Этапы незалежныя, таму сапраўдны ўліковы запіс не выратуе няправільны ключ IPsec, а правільны ключ не выратуе састарэлы пароль. Запішыце абодва асобна ў заяўцы, і дыягназ звычайна вынікае з першага радка журнала, які называе этап.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Агульны сакрэт даказвае вузел
Папярэдне агучаны ключ — гэта групавыя пасведчанне, якое трымаюць шлюз і кожны кліент, што да яго далучаецца. Ён пацвярджае, што вузел ведае ключ, і з яго IKE выводзіць ключы, якія абараняюць злучэнне. Нішто ў гэтым абмене не ідэнтыфікуе чалавека за клавіятурай. Менавіта таму ў тым жа тунэлі існуе другі ўваход на ўзроўні карыстальніка.
Гэты дызайн мае практычныя наступствы для адклікання. Страта аднаго ноўтбука азначае змену сакрэту для кожнай прылады, якая ім карыстаецца, калі толькі разгортванне не пераходзіць на сертыфікаты, дзе адну прыладу можна выдаліць, не кранаючы астатнія. Кампраміс — гэта адміністрацыйныя намаганні супраць радыусу ўздзеяння.
Ключ, уведзены ў профіль, таксама найлягчэй сцякае праз здымкі экрана і чат. Стаўцеся да яго як да агульнага інфраструктурнага матэрыялу, а не як да асабовага пароля, бо гэта менавіта так і ёсць.
Уваход належыць PPP
Унутры сеанса L2TP PPP узгадняе аўтэнтыфікацыю і просіць сервер праверыць пару значэнняў, якія вы ўвялі. У Windows гэта тое самае імя і пароль, якія запытвае профіль, а на маршрутызатары — тое, на што спасылаецца профіль PPP. Праверка ідзе супраць сховішча ўліковых запісаў, а не супраць ключа. Два чалавекі могуць дзяліць ноўтбук і ключ і ўсё ж адрознівацца на гэтым этапе.
Паколькі гэта аўтэнтыфікацыя карыстальніка, дзейнічаюць усе звычайныя палітыкі ўліковага запісу: састарэлы пароль, заблакаваны запіс, дазвол на ўваход па тэлефоне або імя, якое павінна несці дамен. Памылка 691 паведамляе пра гэтую камбінацыю як адхіленую, таму прачытайце ўліковы запіс сервера, перш чым нешта ўводзіць нанова.
Хай памылка выбірае поле
Памылка 789 называе пласт бяспекі і паказвае на этап IPsec. Пераканайцеся, што папярэдне агучаны ключ з абодвух бакоў цалкам супадае, што асоба вузла, якую чакае шлюз, адпавядае таму, што дасылае кліент, і што кліент наладжаны на L2TP/IPsec, а не на іншы тып.
Памылка 691 называе пасведчанні і паказвае на PPP. Праверце стан запісу і дакладны фармат імя, перш чым мяняць сакрэт, бо адначасовая змена абодвух знішчае доказы, якія вы чыталі.
Калі тунэль узнімаецца, а трафік усё яшчэ спыняецца, цалкам спыніце рэдагаваць палі аўтэнтыфікацыі. Паглядзіце на пул адрасоў, маршрут назад у падсетку кліента і MTU: параўнанне двух пластоў дапамагае, толькі пакуль збой яшчэ ўнутры іх.