শেয়ার করা সিক্রেট নাকি ব্যবহারকারী লগইন: L2TP/IPsec-এর কোন ফিল্ড ব্যর্থ হয়েছে?
প্রি-শেয়ারড কী পিয়ারকে প্রমাণ করে, আর PPP ব্যবহারকারীর নাম ও পাসওয়ার্ড ব্যক্তিকে। ত্রুটির কোড বলে দুই স্তরের কোনটি ভেঙেছে।
একটি অফিস প্রতিটি ল্যাপটপকে একই IPsec সিক্রেট দিতে পারে, অথচ প্রত্যেকে নিজের আলাদা অ্যাকাউন্টে সাইন ইন করে, তাই «কী ঠিক আছে» আর «পাসওয়ার্ড ঠিক আছে» দুটোই সত্য হতে পারে আর লগইন তবুও ব্যর্থ হয়। L2TP আর IPsec ভিন্ন স্তরে ভিন্ন পক্ষকে প্রমাণিত করে। দুই স্তরের তুলনা এবং সেগুলোকে আলাদা করা ত্রুটির কোড এই টিকিটগুলোর বেশিরভাগই দুই মান আবার বদলানোর চেয়ে দ্রুত বন্ধ করে। স্তরগুলো পরস্পর বিনিময়যোগ্য নয়, আর আপনার সামনের বার্তাই বলে দিচ্ছে কোনটি এখন কাজ করছে।
দুই স্তর, দুই ভিন্ন পরিচয়
আগে চলে IPsec পিয়ার প্রমাণীকরণ। ক্লায়েন্ট আর গেটওয়ে কোনো টানেল পেলোড সুরক্ষিত হওয়ার আগেই প্রি-শেয়ারড কী বা সার্টিফিকেট দিয়ে একে অন্যকে নিজেদের পরিচয় প্রমাণ করে। L2TP সেশনের ভেতরের PPP বিনিময় চলে তার পরে, আর ঠিক সেখানেই আপনার ব্যবহারকারীর নাম ও পাসওয়ার্ড সার্ভারের অ্যাকাউন্ট ভাণ্ডারের সঙ্গে যাচাই হয়।
স্তরগুলো স্বাধীন, তাই বৈধ ব্যবহারকারী অ্যাকাউন্ট ভুল IPsec কী উদ্ধার করতে পারে না, আর সঠিক কী মেয়াদোত্তীর্ণ পাসওয়ার্ড উদ্ধার করতে পারে না। টিকিটে দুটোকে আলাদা করে লিখুন, আর রোগনির্ণয় সাধারণত স্তরের নাম বলা প্রথম লগ লাইন থেকেই বেরিয়ে আসে।
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
শেয়ার করা সিক্রেট পিয়ারকে প্রমাণ করে
প্রি-শেয়ারড কী হলো একটি গোষ্ঠীগত ক্রেডেনশিয়াল, যা গেটওয়ে এবং তার সঙ্গে সংযুক্ত প্রতিটি ক্লায়েন্ট ধরে রাখে। এটি প্রমাণ করে যে পিয়ার কীটি জানে, আর তা থেকেই IKE সংযোগ রক্ষাকারী কীগুলো তৈরি করে। সেই বিনিময়ে কিবোর্ডের মানুষটিকে চিহ্নিত করার মতো কিছু নেই। ঠিক এ কারণেই একই টানেলে দ্বিতীয়, ব্যবহারকারী-স্তরের লগইন আছে।
এই নকশার প্রত্যাহারের জন্য একটি ব্যবহারিক পরিণতি আছে। একটি ল্যাপটপ হারানো মানে যত ডিভাইস এটি ব্যবহার করে সবার জন্য সিক্রেট বদলানো, যদি না ডিপ্লয়মেন্ট সার্টিফিকেটে চলে যায়, যেখানে একটি ডিভাইস বাকিগুলো না ছুঁয়েই সরানো যায়। বিনিময়টি প্রশাসনিক শ্রম বনাম ক্ষতির পরিধি।
প্রোফাইলে টাইপ করা কী-ই স্ক্রিনশট আর চ্যাটের মাধ্যমে ফাঁস হওয়ার সবচেয়ে সহজ ক্রেডেনশিয়াল। এটিকে ব্যক্তিগত পাসওয়ার্ড নয়, শেয়ার করা অবকাঠামোর উপকরণ হিসেবে দেখুন, কারণ এটি ঠিক তাই।
লগইন PPP-এর অংশ
L2TP সেশনের ভেতরে PPP প্রমাণীকরণ নিয়ে দরকষাকষি করে এবং সার্ভারকে আপনার টাইপ করা দুই মান যাচাই করতে বলে। উইন্ডোজে এগুলোই সেই ব্যবহারকারীর নাম ও পাসওয়ার্ড যা প্রোফাইল চায়, আর রাউটারে এটি হলো PPP প্রোফাইল যেটির দিকে নির্দেশ করে। এটি যাচাই হয় অ্যাকাউন্ট ভাণ্ডারের সঙ্গে, কী-এর সঙ্গে নয়। দুজন মানুষ একটি ল্যাপটপ ও একটি কী ভাগ করে নিয়েও এই স্তরে আলাদা চিহ্নিত হতে পারে।
যেহেতু এটি ব্যবহারকারী প্রমাণীকরণ, তাই স্বাভাবিক সব অ্যাকাউন্ট নীতি প্রযোজ্য: মেয়াদোত্তীর্ণ পাসওয়ার্ড, লক করা অ্যাকাউন্ট, ডায়াল-ইন অনুমতি, বা এমন নাম যা ডোমেইন বহন করবে। ত্রুটি 691 ওই সমন্বয়কে প্রত্যাখ্যাত বলে জানায়, তাই কিছু আবার টাইপ করার আগে সার্ভারের হিসাবের রেকর্ড পড়ুন।
ত্রুটিকেই ফিল্ড বাছতে দিন
ত্রুটি 789 নিরাপত্তা স্তরের নাম বলে IPsec স্তরের দিকে ইঙ্গিত করে। নিশ্চিত করুন দুই পক্ষের প্রি-শেয়ারড কী হুবহু মেলে, গেটওয়ে যে পিয়ার পরিচয় আশা করে তা ক্লায়েন্ট যা পাঠায় তার সঙ্গে মেলে, এবং ক্লায়েন্ট অন্য কোনো ধরনের বদলে L2TP/IPsec-এর জন্য কনফিগার করা আছে।
ত্রুটি 691 ক্রেডেনশিয়ালের নাম বলে PPP-এর দিকে ইঙ্গিত করে। সিক্রেট বদলানোর আগে অ্যাকাউন্টের অবস্থা আর নামের সঠিক বিন্যাস দেখুন, কারণ দুটো একসঙ্গে বদলালে আপনি যে প্রমাণ পড়ছিলেন তা নষ্ট হয়ে যায়।
টানেল উঠে গেলেও ট্রাফিক থেমে থাকলে প্রমাণীকরণের ফিল্ড সম্পাদনা পুরোপুরি বন্ধ করুন। অ্যাড্রেস পুল, ক্লায়েন্ট সাবনেটে ফেরার রুট আর MTU দেখুন: দুই স্তরের তুলনা কেবল তখনই সাহায্য করে যখন ব্যর্থতা এখনো তাদের ভেতরেই।