Jedna chyba, tři tajemství: které přihlašovací údaje VPN selhaly?
Klient zobrazuje jednu chybu pro každou fázi. Přečtěte si asociaci, výměnu uživatele a metodu, než resetujete heslo, které nikdo nezkontroloval.
„Ověření se nezdařilo“ může ukazovat na certifikát serveru, předsdílený klíč stroje nebo heslo uživatele. Na které z nich, to závisí na protokolu, protože každý protokol definuje jinou sadu tajemství. Resetujte to špatné a chyba zůstane beze změny. Cesta ven je nejdřív zjistit, kolik důkazů protokol vyžaduje, a teprve pak něco upravovat.
Dva důkazy ukazující opačným směrem
Tunel musí odpovědět, zda dosáhl správné brány, a odděleně, kdo je uživatel. Důkaz brány je na úrovni stroje: certifikát serveru, předsdílený klíč nebo statický veřejný klíč. Důkaz uživatele je na úrovni osoby: heslo, token, klientský certifikát nebo vůbec nic. To jsou opačné směry důvěry a spotřebovávají jiný materiál.
IKEv2 provádí důkaz brány uvnitř IKE_AUTH a při použití EAP potom spouští důkaz uživatele v samostatné výměně. Specifikace IKEv2 je drží jako oddělené sekce, což je silný náznak, kde hledat, když jedna zpráva pokrývá obě kola.
Čtěte fázi, ne zprávu
Klient zobrazí jeden řetězec chyby bez ohledu na to, která fáze selhala, takže samotný řetězec nenese téměř žádnou informaci. Informaci nese stav, který můžete v každé fázi prozkoumat: zda existuje asociace, zda začala výměna uživatele a zda klient nabídl metodu, kterou brána chtěla. Tabulka řadí fáze tímto způsobem, ne podle názvu protokolu.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Jen druhý řádek se týká údaje, který může uživatel znovu napsat. Zbylé tři jsou fakta o konfiguraci a právě tento nesoulad je důvod, proč tolik takových hlášení končí resetem hesla, který nic nezmění. Přečtěte si řádek, který odpovídá vašemu důkazu, než sáhnete na pole.
Protokol se dvěma tajemstvími ukazuje karty
L2TP přes IPsec dělá počet viditelným, protože obě kontroly probíhají v různých procesech. Vrstva IPsec musí nejdřív vstát s předsdíleným klíčem nebo certifikátem, a teprve potom se PPP uvnitř ní pokusí o přihlášení uživatele.
Když je tajemství stroje špatné, asociace nevznikne a údaje uživatele se nikdy nevyzkouší. Když je tajemství stroje správné a tajemství uživatele špatné, asociace existuje a PPP po již postaveném tunelu přihlášení odmítne. Obě situace dávají na obrazovce stejnou zprávu ze dvou různých událostí.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerPrázdný seznam asociací okamžitě vylučuje uživatelskou vrstvu, takže ho zkontrolujte dřív než heslo. Navázaná asociace s opakovanými selháními PPP ukazuje opačným směrem, na uživatelskou vrstvu nebo na ověřovací protokol uvnitř ní. Ani jeden z těch závěrů není z textu chyby klienta dostupný.
Na čem vlastně závisí přihlášení jen heslem
Přístup jen heslem je běžný u L2TP, PPTP, SSTP a IKEv2 s EAP. WireGuard takovou možnost vůbec nemá, protože jeho protějšky jsou klíče, ne uživatelé. U OpenVPN přichází odpověď z požadavku serveru na klientský certifikát: brána, která vyžaduje certifikát i heslo, bude klienta jen s heslem odmítat dál, ať se do pole napíše cokoli.
Kterou komponentu potřebujete, plyne ze stejné odpovědi. Přihlášení heslem pod IKEv2 vyžaduje klienta, který mluví EAP, zatímco přihlášení certifikátem potřebuje soukromý klíč klienta a řetěz serveru. Nainstalujte tu špatnou a selhání se čte jako chyba údajů, i když chybí sama metoda ověření.
Změňte jednu věc a pak to znovu otestujte
Nejdřív zjistěte tři fakta: který protokol běží, kolik tajemství definuje a která z nich patří stroji, a ne uživateli. Stroje selhávají v první fázi a lidé ve druhé, a záměna těch dvou je celý tento problém.
Potom změňte přesně jednu věc a otestujte to znovu ze stejného klienta. Tahle disciplína mění matoucí selhání v opravu, kterou můžete popsat dalšímu člověku, a to je užitečnější než fungující spojení, které nikdo neumí vysvětlit.