Споделена тайна или потребителски вход: кое поле на L2TP/IPsec се провали?
Предварително споделеният ключ доказва партньора, а потребителското име и паролата на PPP — човека. Кодът на грешката казва кой от двата слоя е счупен.
Един офис може да даде същата IPsec тайна на всеки лаптоп, докато всеки човек влиза с индивидуален акаунт, и точно затова „ключът е верен” и „паролата е вярна” могат да са едновременно истина, а входът пак да се проваля. L2TP и IPsec удостоверяват различни страни на различни етапи. Сравнението на двата слоя и кодът на грешката, който ги разделя, приключват повечето такива заявки по-бързо от поредната смяна на двете стойности. Етапите не са взаимозаменяеми и съобщението пред вас вече казва кой е в игра.
Два слоя, две различни самоличности
Първо се изпълнява удостоверяването на партньора по IPsec. Клиентът и шлюзът доказват кой е кой с предварително споделен ключ или сертификат, преди да бъде защитен какъвто и да е полезен товар на тунела. Обменът на PPP вътре в L2TP сесията идва след това и именно там потребителското име и паролата се проверяват срещу хранилището с акаунти на сървъра.
Етапите са независими, затова валиден потребителски акаунт не може да спаси грешен IPsec ключ, а правилният ключ не може да спаси изтекла парола. Запишете двете отделно в заявката и диагнозата обикновено следва от първия ред в журнала, който назовава етап.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Споделената тайна доказва партньора
Предварително споделеният ключ е групово удостоверение, което държат шлюзът и всеки клиент, който се свързва с него. Той установява, че партньорът знае ключа, и от него IKE извежда ключовете, които защитават връзката. Нищо в този обмен не идентифицира човека на клавиатурата. Точно затова в същия тунел съществува втори вход на потребителско ниво.
Този дизайн има практическа последица за отнемането. Загубата на един лаптоп означава смяна на тайната за всяко устройство, което я използва, освен ако внедряването не премине към сертификати, където едно устройство може да бъде премахнато, без да се пипат останалите. Разменната цена е административни усилия срещу обхват на щетите.
Ключът, въведен в профил, е и най-лесното удостоверение за изтичане чрез екранни снимки и чат. Отнасяйте се към него като към споделен инфраструктурен материал, а не като към лична парола, защото точно това е.
Входът принадлежи на PPP
Вътре в L2TP сесията PPP договаря удостоверяване и иска от сървъра да провери двойката стойности, които сте въвели. В Windows това са същите потребителско име и парола, които профилът иска, а на рутера — това, към което сочи PPP профилът. Проверява се срещу хранилището с акаунти, а не срещу ключа. Двама души могат да делят лаптоп и ключ и пак да бъдат разграничени на този етап.
Понеже това е потребителско удостоверяване, важат всички обичайни политики за акаунта: изтекла парола, заключен акаунт, разрешение за комутируем достъп или име, което трябва да носи домейн. Грешка 691 съобщава тази комбинация като отказана, затова прочетете счетоводния запис на сървъра, преди да въвеждате каквото и да е наново.
Оставете грешката да избере полето
Грешка 789 назовава слоя за сигурност и сочи към етапа IPsec. Уверете се, че предварително споделеният ключ от двете страни съвпада точно, че самоличността на партньора, която шлюзът очаква, отговаря на това, което клиентът изпраща, и че клиентът е конфигуриран за L2TP/IPsec, а не за друг тип.
Грешка 691 назовава удостоверения и сочи към PPP. Проверете състоянието на акаунта и точния формат на името, преди да смените тайната, защото смяната на двете наведнъж унищожава доказателството, което сте чели.
Когато тунелът се вдигне, а трафикът все още спира, спрете напълно да редактирате полетата за удостоверяване. Погледнете пула от адреси, маршрута обратно към подмрежата на клиента и MTU: сравнението на двата слоя помага само докато отказът е още в тях.