Sdílený tajný klíč, nebo přihlášení uživatele: které pole L2TP/IPsec selhalo?
Předsdílený klíč prokazuje protistranu, zatímco uživatelské jméno a heslo PPP prokazují osobu. Kód chyby říká, která ze dvou vrstev selhala.
Jedna kancelář může dát stejný IPsec tajný klíč každému notebooku, zatímco se každý člověk přihlašuje vlastním účtem, a právě proto mohou být „klíč je správný” i „heslo je správné” pravdivé současně a přihlášení přesto selhává. L2TP a IPsec ověřují různé strany v různých fázích. Srovnání obou vrstev a kód chyby, který je odděluje, uzavřou většinu těchto tiketů rychleji než další výměna obou hodnot. Fáze nejsou zaměnitelné a zpráva před vámi už říká, která je ve hře.
Dvě vrstvy, dvě různé identity
Nejprve probíhá ověření protistrany v IPsec. Klient a brána si navzájem prokážou, kdo jsou, předsdíleným klíčem nebo certifikátem, dříve než je chráněn jakýkoli obsah tunelu. Výměna PPP uvnitř relace L2TP probíhá potom a právě tam se vaše uživatelské jméno a heslo kontrolují proti úložišti účtů na serveru.
Fáze jsou nezávislé, takže platný uživatelský účet nezachrání špatný IPsec klíč a správný klíč nezachrání vypršelé heslo. Napište je v tiketu odděleně a diagnóza obvykle vyplyne z prvního řádku logu, který pojmenuje fázi.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Sdílený tajný klíč prokazuje protistranu
Předsdílený klíč je skupinový údaj, který drží brána a každý klient, jenž se k ní připojuje. Prokazuje, že protistrana klíč zná, a z něj IKE odvozuje klíče, které chrání spojení. Nic v této výměně neidentifikuje člověka u klávesnice. Právě proto v témže tunelu existuje druhé přihlášení na úrovni uživatele.
Tento návrh má praktický důsledek pro odvolání. Ztráta jednoho notebooku znamená rotaci tajného klíče pro každé zařízení, které jej používá, pokud se nasazení nepřesune na certifikáty, kde lze jedno zařízení odebrat bez zásahu do ostatních. Obchod je administrativní úsilí proti rozsahu škody.
Klíč napsaný v profilu je také nejjednodušší údaj k úniku přes snímky obrazovky a chat. Berte ho jako sdílený infrastrukturní materiál, ne jako osobní heslo, protože přesně tím je.
Přihlášení patří k PPP
Uvnitř relace L2TP vyjednává PPP ověřování a žádá server, aby ověřil dvojici hodnot, kterou jste zadali. Ve Windows jde o totéž uživatelské jméno a heslo, které žádá profil, a na routeru o to, na co odkazuje profil PPP. Kontroluje se proti úložišti účtů, ne proti klíči. Dva lidé mohou sdílet notebook i klíč a v této fázi se přesto rozliší.
Protože jde o ověřování uživatele, platí všechny obvyklé zásady účtu: vypršelé heslo, uzamčený účet, povolení vytáčeného připojení nebo jméno, které musí nést doménu. Chyba 691 hlásí tuto kombinaci jako odmítnutou, takže si před novým psaním přečtěte účetní záznam serveru.
Nechte chybu vybrat pole
Chyba 789 pojmenovává bezpečnostní vrstvu a ukazuje na fázi IPsec. Ověřte, že předsdílený klíč na obou stranách přesně souhlasí, že identita protistrany očekávaná bránou odpovídá tomu, co klient posílá, a že klient je nakonfigurován pro L2TP/IPsec, nikoli pro jiný typ.
Chyba 691 pojmenovává přihlašovací údaje a ukazuje na PPP. Zkontrolujte stav účtu a přesný formát jména, než změníte tajný klíč, protože změna obou najednou zničí důkaz, který jste četli.
Když se tunel zvedne a provoz se stále zastavuje, přestaňte úplně upravovat pole ověřování. Podívejte se na fond adres, trasu zpět do podsítě klienta a MTU: srovnání obou vrstev pomáhá jen tehdy, dokud je porucha ještě uvnitř nich.