Jedna greška, tri tajne: koji VPN podaci za prijavu nisu prošli?
Klijent prikazuje jednu grešku za svaku fazu. Pročitajte asocijaciju, korisničku razmjenu i metodu prije nego što resetujete lozinku koju niko nije provjerio.
„Autentifikacija nije uspjela“ može ukazivati na serverski certifikat, unaprijed dijeljeni ključ mašine ili korisničku lozinku. Na koju se odnosi zavisi od protokola, jer svaki protokol definiše drugi skup tajni. Resetujete pogrešnu i greška ostaje nepromijenjena. Izlaz je da utvrdite koliko dokaza protokol zahtijeva prije nego što bilo šta uredite.
Dva dokaza koji pokazuju u suprotnim smjerovima
Tunel mora odgovoriti da li je stigao do pravog gatewaya, i odvojeno ko je korisnik. Dokaz gatewaya je na nivou mašine: serverski certifikat, unaprijed dijeljeni ključ ili statički javni ključ. Dokaz korisnika je na nivou osobe: lozinka, token, klijentski certifikat ili ništa. To su suprotni smjerovi povjerenja i troše različit materijal.
IKEv2 obavlja dokaz gatewaya unutar IKE_AUTH i, kada se koristi EAP, zatim izvodi dokaz korisnika u odvojenoj razmjeni. specifikacija IKEv2 drži to kao odvojene sekcije, što je snažan nagovještaj gdje tražiti kada jedna poruka pokriva oba kruga.
Čitajte fazu, ne poruku
Klijent prikazuje jedan tekst greške bez obzira na to koja faza nije uspjela, pa sam tekst gotovo ne nosi informaciju. Informaciju nosi stanje koje možete pregledati u svakoj fazi: postoji li asocijacija, je li korisnička razmjena počela i je li klijent ponudio metodu koju je gateway htio. Tabela poreda faze na taj način, a ne po imenu protokola.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Samo drugi red se odnosi na podatke koje korisnik može ponovo otipkati. Ostala tri su činjenice konfiguracije, i taj nesklad je razlog zašto toliko ovih izvještaja završava resetovanjem lozinke koje ništa ne mijenja. Pročitajte red koji odgovara vašem dokazu prije nego što dodirnete polje.
Protokol s dvije tajne pokazuje svoje karte
L2TP preko IPsec-a čini broj vidljivim, jer se dvije provjere dešavaju u različitim procesima. IPsec sloj mora prvo ustati s unaprijed dijeljenim ključem ili certifikatom, i tek tada PPP unutar njega pokušava korisničku prijavu.
Kada je tajna mašine pogrešna, asocijacija se ne formira i korisnički podaci se nikada ne pokušavaju. Kada je tajna mašine ispravna a tajna korisnika pogrešna, asocijacija postoji i PPP odbija prijavu nakon što je tunel već podignut. Oba daju istu poruku na ekranu iz dva različita događaja.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerPrazna lista asocijacija odmah isključuje korisnički sloj, pa je provjerite prije lozinke. Uspostavljena asocijacija s ponavljanim PPP neuspjesima pokazuje u drugu stranu, na korisnički sloj ili na protokol autentifikacije unutar njega. Nijedan od ta dva zaključka nije dostupan iz teksta greške klijenta.
Od čega zapravo zavisi prijava samo lozinkom
Pristup samo lozinkom uobičajen je za L2TP, PPTP, SSTP i IKEv2 s EAP-om. WireGuard uopšte nema takvu opciju, jer su njegovi partneri ključevi, a ne korisnici. Za OpenVPN odgovor dolazi iz zahtjeva servera za klijentskim certifikatom: gateway koji traži i certifikat i lozinku nastavit će odbijati klijenta samo s lozinkom, šta god bilo otipkano u polje.
Koja komponenta vam treba slijedi iz istog odgovora. Prijava lozinkom pod IKEv2 zahtijeva klijenta koji govori EAP, dok prijava certifikatom treba privatni ključ klijenta i lanac servera. Instalirajte pogrešnu i neuspjeh se čita kao greška u podacima za prijavu, iako nedostaje sama metoda autentifikacije.
Promijenite jednu stvar, pa ponovo testirajte
Prvo utvrdite tri činjenice: koji protokol radi, koliko tajni definiše i koje od njih pripadaju mašini, a ne korisniku. Mašine padaju u prvoj fazi, a ljudi u drugoj, i miješanje tih dviju je cijeli ovaj problem.
Zatim promijenite tačno jednu stvar i ponovo testirajte s istog klijenta. Ta disciplina pretvara zbunjujući neuspjeh u popravku koju možete opisati sljedećoj osobi, što je korisnije od veze koja radi a koju niko ne može objasniti.