IKEv2 razmjena radi, a zatim autentifikacija ne uspijeva: gdje

Klijent koji dobije odgovor IKEv2 dokazao je da je pristupnik dostupan, da obje strane mogu pregovarati o prijedlogu i da je početna razmjena ključeva završena. Nije dokazao da je iko autentificiran. Sljedeća razmjena nosi identitete, certifikate ili EAP, i tu se veza obično zaustavlja. Pročitati koja je od tih provjera pala jest cijela dijagnoza, a poruka o grešci to sama rijetko kaže.

Provjera 1: čitajte fazu, a ne poruku

Odbijanje može doći s tri mjesta: klijent odbija identitet servera, pristupnik odbija klijentov dokaz, a vanjska usluga autentifikacije odbija račun.

Svako daje drugu liniju zapisa na drugom stroju i svako ima drugo rješenje. Odbijanje serverovog certifikata na strani klijenta problem je povjerenja ili imena na klijentu; odbijanje klijentovog certifikata na strani pristupnika problem je povjerenja na pristupniku; EAP neuspjeh problem je računa ili pozadinskog sustava. Poruka koju vidite obično je klijentov sažetak jednoga od toga, zato je zapis pristupnika jednako važan kao i klijentov.

Provjera 2: koji je identitet provjeren

Klijent može odbiti serverov certifikat ili očekivani identitet prije nego što se ponudi ikakav korisnički podatak, a ispravna adresa servera nije zamjena za tu provjeru. Identifikator koji klijent očekuje mora se podudarati s onim što pristupnik predstavlja, a to je činjenica o konfiguraciji, ne o mreži.

U terminima strongSwana to je rightid na klijentu, a na drugoj strani vlastiti identitet pristupnika, i nesklad pada prije nego što se EAP uopće spomene.

Pristupnik zasebno može odbiti klijentov certifikat, dokaz njegova ključa ili autentifikaciju računa, i ta tri nisu zamjenjiva. Ponovno postavljanje korisničke lozinke ne obnavlja certifikat uređaja, a ponovna instalacija certifikata uređaja ne ispravlja pogrešan identitet servera. Kod kvarova certifikata prvo provjerite sat, zatim lanac povjerenja, zatim očekivani identifikator; klijent čiji sat kasni nekoliko minuta pada na provjeri valjanosti koja izgleda kao kvar povjerenja. swanctl --list-certs na oba kraja pokazuje što svaka strana stvarno ima.

Provjera 3: ako je EAP u igri

Klijent i server moraju se složiti o podržanoj metodi, a pozadinski sustav mora prihvatiti ponuđeni identitet.

Korisničko ime može zahtijevati sufiks domene ili poseban format računa koji uvedba traži, a format je dokumentiran, a ne nagađan. Davanje operaterovih dokumentiranih polja brže je od isprobavanja varijanti i izbjegava drugi problem: ponovljeni pokušaji mogu aktivirati zaključavanje računa, koje onda skriva izvornu fazu iza novog kvara. Ako je metoda EAP-MSCHAPv2 prema imeniku, kvar može pripadati imeniku, a ne VPN-u.

Ne ispitujte probleme s identitetom isključivanjem provjera identiteta. To dijagnosticirani kvar pretvara u nedijagnosticirani i ostavlja vezu slabijom nego prije.

Provjera 4: što se događa nakon uspješne prijave

Nakon što IKE_AUTH završi, pregovori CHILD_SA odlučuju koji će se selektori prometa instalirati, i tu veza može uspjeti i ipak ne propuštati ništa.

Nova prijava koja radi često otkrije problem sa selektorom ili rutom koji je prije bio skriven iza neuspjeha autentifikacije. Ako se tunel podigne, a aplikacija još ne može doći do odredišta, gledajte pregovarane selektore i rute, a ne ponovno identitet. Promjena postavki identiteta u tom trenutku pogađa pogrešnu fazu i obično pokvari prijavu koja radi. Potvrdite s swanctl --list-sas, koji prikazuje djecu i njihove selektore odvojeno od IKE SA.

Provjera 5: što predati podršci

Očišćena vremenska crta i točno odbijanje vrijede više od punog dijagnostičkog izvoza, a izvoz može sadržavati privatne ključeve ili podatke za prijavu koje ne biste smjeli dijeliti.

Zapišite vrijeme s vremenskom zonom, verzije klijenta i pristupnika, metodu, niz identiteta koji je ponuđen, a ne lozinku, i točnu fazu koja ga je odbila. dokumentacija za konfiguraciju strongSwan IKEv2 opisuje postavke identiteta i EAP-a koje odlučuju o tim ishodima i to je referenca koju treba pročitati prije promjene polja. Zatim promijenite jednu stvar i ponovno testirajte novu vezu, jer će vam predmemorirana sesija govoriti o staroj konfiguraciji.