Secret compartit o inici de sessió d’usuari: quin camp de L2TP/IPsec ha fallat?
Una clau prèviament compartida demostra el parell, mentre que l’usuari i la contrasenya PPP demostren la persona. El codi d’error diu quina de les dues capes s’ha trencat.
Una oficina pot repartir el mateix secret IPsec a tots els portàtils mentre cada persona inicia sessió amb un compte individual, i per això «la clau és correcta» i «la contrasenya és correcta» poden ser totes dues certes i la sessió encara fallar. L2TP i IPsec autentiquen parts diferents en etapes diferents. La comparació de les dues capes, i el codi d’error que les separa, tanquen la majoria d’aquests tiquets més de pressa que tornar a intercanviar tots dos valors. Les etapes no són intercanviables, i el missatge que teniu davant ja diu quina està en joc.
Dues capes, dues identitats diferents
Primer s’executa l’autenticació del parell IPsec. El client i la passarel·la es demostren mútuament qui són, amb una clau prèviament compartida o un certificat, abans que es protegeixi cap càrrega del túnel. L’intercanvi PPP dins de la sessió L2TP va després, i és allà on el vostre nom d’usuari i la contrasenya es comproven contra el magatzem de comptes del servidor.
Les etapes són independents, així que un compte d’usuari vàlid no pot rescatar una clau IPsec incorrecta, i una clau correcta no pot rescatar una contrasenya caducada. Escriviu les dues per separat al tiquet i el diagnòstic sol caure de la primera línia de registre que anomena una etapa.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
El secret compartit demostra el parell
Una clau prèviament compartida és una credencial de grup que tenen la passarel·la i cada client que s’hi connecta. Estableix que el parell coneix la clau, i a partir d’ella IKE deriva les claus que protegeixen la connexió. Res d’aquest intercanvi identifica la persona al teclat. És exactament per això que existeix un segon inici de sessió, a nivell d’usuari, dins del mateix túnel.
Aquest disseny té una conseqüència pràctica per a la revocació. Perdre un portàtil significa rotar el secret per a cada dispositiu que el fa servir, tret que el desplegament passi a certificats, on es pot retirar un sol dispositiu sense tocar la resta. L’intercanvi és esforç administratiu contra abast del dany.
Una clau escrita en un perfil és també la credencial més fàcil de filtrar per captures de pantalla i xats. Tracteu-la com a material d’infraestructura compartit i no com una contrasenya personal, perquè és exactament això.
L’inici de sessió pertany a PPP
Dins de la sessió L2TP, PPP negocia l’autenticació i demana al servidor que verifiqui el parell de valors que heu escrit. A Windows són el mateix nom d’usuari i contrasenya que demana el perfil, i en un encaminador és el que referencia el perfil PPP. Es comprova contra el magatzem de comptes, no contra la clau. Dues persones poden compartir un portàtil i una clau i tot i així distingir-se en aquesta etapa.
Com que és autenticació d’usuari, s’apliquen totes les polítiques habituals de compte: contrasenya caducada, compte bloquejat, permís de marcació o un nom que ha de portar domini. L’error 691 informa aquesta combinació com a rebutjada, així que llegiu el registre de comptabilitat del servidor abans de tornar a escriure res.
Deixeu que l’error triï el camp
L’error 789 anomena la capa de seguretat i apunta a l’etapa IPsec. Confirmeu que la clau prèviament compartida als dos costats coincideix exactament, que la identitat del parell que espera la passarel·la coincideix amb el que envia el client, i que el client està configurat per a L2TP/IPsec i no per a un altre tipus.
L’error 691 anomena credencials i apunta a PPP. Comproveu l’estat del compte i el format exacte del nom abans de canviar el secret, perquè canviar tots dos alhora destrueix l’evidència que estàveu llegint.
Quan el túnel s’aixeca i el trànsit encara s’atura, deixeu del tot d’editar els camps d’autenticació. Mireu el pool d’adreces, la ruta de tornada a la subxarxa del client i la MTU: la comparació de les dues capes només ajuda mentre la fallada encara és dins seu.