Gwrthodwyd PSK L2TP/IPsec: ewch drwy'r deialog, yna'r ffeiliau

Rydych chi'n gludo'r allwedd a rennir ymlaen llaw o neges y gweinyddwr i ddeialog NetworkManager, yn ticio'r blwch i'w dangos, ac mae'n cyfateb fesul cymeriad. Mae'r cysylltiad yn dal i orffen mewn methiant dilysu cyn i'r twnnel godi. Pan welais hyn y tro cyntaf, tybiais fod yr allwedd yn anghywir; nid oedd. Mae dau beth arall yn pennu'r hyn y mae'r daemon yn ei ddarllen mewn gwirionedd: y ffeil gyfrinachau y mae'r ategyn yn ei hysgrifennu ar gyfer y cysylltiad hwnnw, ac a wnaeth y gwerth oroesi'r deialog heb newid.

Mae'r daith isod yn dilyn yr allwedd o'r maes i'r ffeil, a dyna'r drefn sy'n dweud wrthych ble y collwyd hi. Gwnewch hyn ar y peiriant sy'n methu, nid ar yr un sy'n gweithio, oherwydd y gwahaniaeth rhwng y ddau beiriant hynny yw'r cynllun ffeiliau fel arfer, nid yr allwedd.

Dechreuwch yn y deialog, ond peidiwch ag ymddiried yn y maes

Agorwch dab IPsec y cysylltiad a theipiwch yr allwedd eto yn lle ei gludo. Gall allwedd a gopïwyd o neges sgwrs, PDF neu reolwr cyfrineiriau gyrraedd â thorlin ar y diwedd nad yw'r maes yn ei dangos, ac mae'r cymeriadau sy'n weladwy yn dal i edrych yn gywir.

Cliciwch y rheolydd dangos cyfrinair ac edrychwch ar ddiwedd y llinyn, nid yn y canol. Os yw'r cyrchwr yn gadael llinell wag o dan y testun, dilëwch hi a theipio'r cymeriad olaf eto. Mae'r un cywiriad hwnnw yn datrys cyfran syfrdanol o'r adroddiadau hyn, ac mae'n costio llai na darllen unrhyw log.

Os daw'r allwedd o system docynnau sy'n lapio llinellau hir, gofynnwch amdani drwy sianel nad yw'n lapio. Cymharwch y hydoedd â'r gweinyddwr yn lle llygadu dau linyn ochr yn ochr; mae cymeriad a gollwyd ar bwynt lapio yn anweledig mewn ffont cymesur.

Dilynwch yr allwedd i mewn i /etc/ipsec.d

Nid yw'r ategyn byth yn trosglwyddo'r PSK i'r daemon IPsec fel dadl ar linell orchymyn. Yn lle hynny mae'n storio'r gwerth mewn ffeil gyfrinachau ac yn trefnu i'r daemon dynnu'r ffeil honno i mewn, gan ychwanegu llinell include at /etc/ipsec.secrets os nad oes un. Yr hyn y mae'r deialog yn ei ddal yw mewnbwn i'r ffeil a gynhyrchwyd, nid y gwerth sydd ar waith.

Rhestrwch beth sy'n bodoli cyn i chi newid unrhyw beth:

ipsec --version
sudo ls -l /etc/ipsec.d/*.secrets /etc/ipsec.d/ipsec.nm-l2tp.secrets 2>/dev/null
sudo grep -n "include" /etc/ipsec.secrets

Roedd rhyddhau hŷn o'r ategyn yn ysgrifennu un ffeil fesul cysylltiad, wedi'i henwi ar ôl UUID y cysylltiad, er enghraifft /etc/ipsec.d/nm-l2tp-ipsec-<uuid>.secrets. Nid yw dileu proffil yn yr apletn yn dileu'r ffeil honno'n ddibynadwy. Os yw hen ffeil o weinydd blaenorol yn dal ar y disg ac yn dal i gael ei chynnwys, gall y daemon ddewis cyfrinach sy'n perthyn i broffil nad ydych yn ei ddefnyddio mwyach, ac mae'r cysylltiad yn methu tra bo'r maes gweladwy yn gywir.

Deallwch beth wnaeth y newid 1.2.12 i uwchraddiadau

Disodlodd fersiwn 1.2.12 o'r ategyn y ffeiliau cyfrinachau fesul cysylltiad ag un ffeil a rennir, /etc/ipsec.d/ipsec.nm-l2tp.secrets. Nid yw uwchraddiad yn clirio'r hen ffeiliau fesul UUID, ac mae llinell include /etc/ipsec.d/*.secrets sy'n bodoli eisoes yn dal i'w tynnu i mewn. Newidiodd fersiwn 1.2.16 y modd y caiff cynigion diofyn eu trin, nid cynllun y cyfrinachau.

Mae'r hanes hwnnw'n esbonio pam fod dau beiriant â'r hyn sy'n edrych fel yr un proffil yn ymddwyn yn wahanol. Mae'r allwedd yn union yr un fath; nid yw'r set o ffeiliau y mae'r daemon yn eu cynnwys. Pan fyddwch yn tynnu ffeil amddifad, symudwch hi o'r neilltu yn lle ei dileu, cadarnhewch y cysylltiad, yna dilëwch hi unwaith y bydd y cyflwr gweithiol wedi'i gofnodi. Mae ailenwi yn cadw'r hen werth yn adferadwy os bydd y methiant yn troi allan i fod yn rhywle arall.

Gwahanwch y cymeriadau na all y fformat storio eu dal

Mae dogfennaeth strongSwan ar gyfer y llinyn cyfrinach a rennir yn nodi na all y gwerth gynnwys torlin na chymeriad dyfynbris dwbl. Gall allwedd a gludwyd o ddogfen gario'r naill neu'r llall heb unrhyw wahaniaeth gweladwy mewn deialog arferol.

Ers 1.2.12 nid yw'r gwerth a storiwyd yn destun plaen. Mae'r ategyn yn base64-godio'r PSK cyn iddi gyrraedd y ffeil, ac mae nodiadau'r rhyddhad yn cyflwyno'r codio hwnnw fel y rheswm y mae dyfynbris dwbl bellach yn dderbyniol mewn allwedd. Felly mae dyfynbris a deipiwyd i'r maes yn gynrychioladwy; nid yw'r un peth yn wir am bob cymeriad rheoli.

Mae hyd yn gyfyngiad gwahanol. Nid oes isafswm cyffredinol yn rhedeg ar draws meddalwedd L2TP/IPsec: mae rhai cleientiaid yn derbyn allweddi byrrach nag ugain cymeriad ac mae rhai pyrth yn gorfodi isafswm. Os gwrthodir allwedd fer, mae'r rheol yn perthyn i bolisi'r gweinydd neu i ddilysu'r cleient hwnnw, ac ni fydd codi rhywbeth yn lleol yn ei newid.

Darllenwch pa haen ddilysu a fethodd

Rhedwch ipsec --version yn gyntaf, oherwydd mae strongSwan a Libreswan yn defnyddio enwau ffeiliau a chystrawen wahanol, a gall cyngor ar gyfer un niweidio'r llall. Yna darllenwch gam y methiant o neges y cleient neu o log y daemon: mae cwyn am yr allwedd a rennir ymlaen llaw yn ddigwyddiad gwahanol i enw defnyddiwr a chyfrinair a wrthodwyd.

Mae'r PSK yn dilysu diweddbwyntiau'r twnnel. Mae'r enw defnyddiwr a'r cyfrinair yn dilysu'r person y tu mewn i L2TP, ac mae PPP yn eu trin ar ôl i'r cymdeithasiad IPsec godi. Mae PSK cywir gyda chyfrif anghywir yn methu o hyd, ac ni fydd newid y cyfrif yn atgyweirio allwedd na chafodd y daemon byth ei darllen yn gywir.

Pan fyddwch yn cau'r tocyn, nodwch y pedwar peth i gyd: fersiwn yr ategyn, y ffeil gyfrinachau sydd ar waith, a oedd yr allwedd wedi'i hail-deipio neu ei gludo, a'r haen a enwir yn y gwall. Wedyn gall unrhyw un sy'n ailadrodd y daith hon neidio'n syth at y gwahaniaeth rhwng y peiriant sy'n gweithio a'r un sy'n methu.