Dijeljena tajna ili korisnička prijava: koje je polje L2TP/IPsec-a zakazalo?
Unaprijed dijeljeni ključ dokazuje partnera, a PPP korisničko ime i lozinka dokazuju osobu. Kod greške kaže koji je od dva sloja pao.
Jedna kancelarija može svakom laptopu dati istu IPsec tajnu dok se svaka osoba ipak prijavljuje vlastitim računom, i zato „ključ je ispravan” i „lozinka je ispravna” mogu biti istovremeno tačni a prijava ipak ne uspijeva. L2TP i IPsec provjeravaju različite strane u različitim fazama. Poređenje dva sloja i kod greške koji ih razdvaja zatvaraju većinu ovakvih zahtjeva brže od još jedne zamjene obje vrijednosti. Faze nisu zamjenjive, a poruka pred vama već kaže koja je u igri.
Dva sloja, dva različita identiteta
Prvo se izvršava IPsec provjera partnera. Klijent i pristupnik dokazuju jedan drugom ko su, unaprijed dijeljenim ključem ili certifikatom, prije nego što se zaštiti bilo koji sadržaj tunela. Razmjena PPP unutar L2TP sesije ide poslije i tu se vaše korisničko ime i lozinka provjeravaju prema spremištu računa na serveru.
Faze su nezavisne, pa valjan korisnički račun ne može spasiti pogrešan IPsec ključ, a ispravan ključ ne može spasiti isteklu lozinku. Zapišite ih odvojeno u zahtjev i dijagnoza obično ispadne iz prvog retka zapisa koji imenuje fazu.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Dijeljena tajna dokazuje partnera
Unaprijed dijeljeni ključ je grupni akreditiv koji drže pristupnik i svaki klijent koji se na njega spaja. Njime se utvrđuje da partner zna ključ, i iz njega IKE izvodi ključeve koji štite vezu. Ništa u toj razmjeni ne identificira čovjeka za tipkovnicom. Upravo zato u istom tunelu postoji druga prijava na razini korisnika.
Taj dizajn ima praktičnu posljedicu za opoziv. Gubitak jednog laptopa znači rotaciju tajne za svaki uređaj koji je koristi, osim ako se instalacija ne prebaci na certifikate, gdje se jedan uređaj može ukloniti bez diranja ostalih. Trampa je administrativni rad protiv obima štete.
Ključ upisan u profil ujedno je i najlakši akreditiv za curenje kroz snimke ekrana i chat. Tretirajte ga kao zajednički infrastrukturni materijal, a ne kao ličnu lozinku, jer to upravo i jest.
Prijava pripada PPP-u
Unutar L2TP sesije PPP pregovara provjeru i traži od servera da potvrdi par vrijednosti koje ste unijeli. Na Windowsu su to isto korisničko ime i lozinka koje profil traži, a na ruteru ono na šta upućuje PPP profil. Provjerava se prema spremištu računa, ne prema ključu. Dvoje ljudi mogu dijeliti laptop i ključ i opet se razlikovati u ovoj fazi.
Budući da je to korisnička provjera, vrijede sve uobičajene politike računa: istekla lozinka, zaključan račun, dozvola za dial-in ili ime koje mora nositi domenu. Greška 691 prijavljuje tu kombinaciju kao odbijenu, pa pročitajte računovodstveni zapis servera prije nego što bilo šta ponovo otipkate.
Neka greška izabere polje
Greška 789 imenuje sigurnosni sloj i upućuje na fazu IPsec. Potvrdite da se unaprijed dijeljeni ključ na obje strane tačno poklapa, da identitet partnera koji pristupnik očekuje odgovara onome što klijent šalje i da je klijent konfigurisan za L2TP/IPsec, a ne za drugi tip.
Greška 691 imenuje akreditive i upućuje na PPP. Provjerite stanje računa i tačan format imena prije nego što promijenite tajnu, jer promjena oba odjednom uništava dokaz koji ste čitali.
Kada se tunel podigne a saobraćaj i dalje stane, potpuno prestanite uređivati polja za provjeru. Pogledajte bazen adresa, rutu natrag u klijentsku podmrežu i MTU: poređenje dva sloja pomaže samo dok je kvar još unutar njih.