Mae cyfnewid IKEv2 yn gweithio, yna mae dilysu’n methu: ble

Mae cleient sy’n cael ymateb IKEv2 wedi profi bod y porth yn cyrraeddadwy, bod y ddwy ochr yn gallu negodi cynnig a bod y cyfnewid allweddi cychwynnol wedi’i gwblhau. Nid yw wedi profi bod unrhyw un wedi’i ddilysu. Mae’r cyfnewid nesaf yn cario hunaniaethau, tystysgrifau neu EAP, a dyna lle mae’r cysylltiad yn stopio fel arfer. Darllen pa un o’r gwiriadau hynny a fethodd yw’r holl ddiagnosis, ac anaml y mae’r neges wall yn dweud hynny ar ei phen ei hun.

Gwiriad 1: darllenwch y cam, nid y neges

Mae tri lle y gall gwrthodiad ddod ohonynt: y cleient yn gwrthod hunaniaeth y gweinydd, y porth yn gwrthod prawf y cleient, a gwasanaeth dilysu allanol yn gwrthod y cyfrif.

Mae pob un yn cynhyrchu llinell log wahanol ar beiriant gwahanol, ac mae gan bob un atgyweiriad gwahanol. Mae gwrthodiad tystysgrif y gweinydd ar ochr y cleient yn broblem ymddiriedaeth neu enwi ar y cleient; mae gwrthodiad tystysgrif y cleient ar ochr y porth yn broblem ymddiriedaeth ar y porth; mae methiant EAP yn broblem cyfrif neu backend. Y neges a welwch yw crynodeb y cleient o un o’r rhain fel arfer, a dyna pam mae log y porth yr un mor bwysig â log y cleient.

Gwiriad 2: pa hunaniaeth a wirwyd

Gall cleient wrthod tystysgrif y gweinydd neu’r hunaniaeth a ddisgwylir cyn i unrhyw dystiolaeth defnyddiwr gael ei chynnig, ac nid yw cyfeiriad gweinydd sy’n gweithio yn lle’r gwiriad hwnnw. Rhaid i’r dynodydd y mae’r cleient yn ei ddisgwyl gyd-fynd â’r hyn y mae’r porth yn ei gyflwyno, sy’n ffaith ffurfweddu yn hytrach nag un rhwydwaith.

Yn nhermau strongSwan dyna rightid ar y cleient a hunaniaeth y porth ei hun ar yr ochr arall, ac mae anghysondeb yn methu cyn i EAP gael ei drafod o gwbl.

Gall y porth, ar wahân, wrthod tystysgrif y cleient, ei brawf allweddol neu ddilysiad ei gyfrif, ac nid yw’r tri hynny’n gyfnewidiol. Nid yw ailosod cyfrinair defnyddiwr yn adnewyddu tystysgrif dyfais, ac nid yw ailosod tystysgrif dyfais yn trwsio hunaniaeth gweinydd anghywir. Mewn methiannau tystysgrif, edrychwch ar y cloc yn gyntaf, yna’r gadwyn ymddiriedaeth, yna’r dynodydd a ddisgwylir; mae cleient y mae ei gloc funudau ar ei hôl yn methu gwiriad dilysrwydd sy’n edrych fel methiant ymddiriedaeth. swanctl --list-certs ar y ddau ben yn dangos beth sydd gan bob ochr mewn gwirionedd.

Gwiriad 3: os oes EAP yn y llun

Rhaid i’r cleient a’r gweinydd gytuno ar ddull a gefnogir, a rhaid i’r backend dderbyn yr hunaniaeth a ddarperir.

Efallai y bydd enw defnyddiwr angen ôl-ddodiad parth neu fformat cyfrif penodol y mae’r defnyddiad yn ei ofyn, ac mae’r fformat wedi’i ddogfennu yn hytrach na’i ddyfalu. Mae darparu meysydd dogfenedig y gweithredwr yn gyflymach na cheisio amrywiadau, ac mae’n osgoi ail broblem: gall ymdrechion ailadroddus sbarduno cloi cyfrif, sy’n cuddio’r cam gwreiddiol y tu ôl i fethiant newydd. Os y dull yw EAP-MSCHAPv2 yn erbyn cyfeiriadur, efallai mai’r cyfeiriadur sy’n methu, nid y VPN o gwbl.

Peidiwch â phrofi problemau hunaniaeth trwy ddiffodd gwiriadau hunaniaeth. Mae hynny’n troi methiant y gellir ei ddiagnosio yn un na ellir ei ddiagnosio ac yn gadael y cysylltiad yn wannach nag o’r blaen.

Gwiriad 4: beth sy’n digwydd ar ôl mewngofnodi llwyddiannus

Unwaith y bydd IKE_AUTH wedi’i gwblhau, mae negodi CHILD_SA yn penderfynu pa ddetholwyr traffig a osodir, a dyna lle gall cysylltiad lwyddo a pheidio â throsglwyddo dim.

Mae mewngofnodi sydd newydd weithio’n aml yn datgelu problem detholydd neu lwybr a oedd gynt yn gudd y tu ôl i’r methiant dilysu. Os yw’r twnnel yn codi ac mae rhaglen yn dal i fethu â chyrraedd ei chyrchfan, edrychwch ar y detholwyr a negodwyd a’r llwybrau, nid ar hunaniaeth eto. Mae newid gosodiadau hunaniaeth ar y pwynt hwnnw’n targedu’r cam anghywir ac fel arfer yn torri mewngofnodi sy’n gweithio. Cadarnhewch gyda swanctl --list-sas, sy’n dangos y plant a’u detholwyr ar wahân i’r IKE SA.

Gwiriad 5: beth i’w roi i’r tîm cymorth

Mae llinell amser wedi’i glanhau a’r gwrthodiad manwl yn werth mwy na allforiad diagnostig cyflawn, ac efallai bod allforiad yn cynnwys allweddi preifat neu dystiolaethau na ddylech eu rhannu.

Cofnodwch yr amser gyda’r parth amser, fersiynau’r cleient a’r porth, y dull, y llinyn hunaniaeth a gynigiwyd yn hytrach na’r cyfrinair, a’r cam union a’i gwrthododd. dogfenniaeth ffurfweddu strongSwan IKEv2 yn disgrifio’r gosodiadau hunaniaeth ac EAP sy’n penderfynu’r canlyniadau hyn, a dyma’r cyfeirlyfr i’w ddarllen cyn newid maes. Yna newidiwch un peth ac ailbrofwch gysylltiad newydd, oherwydd bydd sesiwn a gedwir ar gron yn dweud wrthych am yr hen ffurfweddiad.