Cyfrinach a rennir neu fewngofnodi defnyddiwr: pa faes L2TP/IPsec a fethodd?
Mae allwedd a rennir ymlaen llaw yn profi’r cymar, tra mae enw defnyddiwr a chyfrinair PPP yn profi’r person. Mae’r cod gwall yn dweud pa un o’r ddwy haen a dorrodd.
Gall un swyddfa drosglwyddo’r un gyfrinach IPsec i bob gliniadur tra bo pob person yn mewngofnodi â chyfrif unigol, a dyna pam y gall «mae’r allwedd yn iawn» a «mae’r cyfrinair yn iawn» fod yn wir ar yr un pryd a’r mewngofnodiad yn methu o hyd. L2TP ac IPsec yn dilysu gwahanol bartïon ar wahanol gamau. Mae cymharu’r ddwy haen, a’r cod gwall sy’n eu gwahanu, yn cau’r rhan fwyaf o’r tocynnau hyn yn gyflymach na chyfnewid y ddau werth eto. Nid yw’r camau’n gyfnewidiadwy, ac mae’r neges o’ch blaen eisoes yn dweud pa un sydd ar waith.
Dwy haen, dau hunaniaeth wahanol
Mae dilysu cymar IPsec yn rhedeg yn gyntaf. Mae’r cleient a’r porth yn profi pwy ydyn nhw i’w gilydd, gan ddefnyddio allwedd a rennir ymlaen llaw neu dystysgrif, cyn i unrhyw lwyth twnnel gael ei amddiffyn. Mae cyfnewid PPP o fewn sesiwn L2TP yn rhedeg wedyn, a dyna lle mae eich enw defnyddiwr a’ch cyfrinair yn cael eu gwirio yn erbyn storfa gyfrifon y gweinydd.
Mae’r camau’n annibynnol, felly ni all cyfrif defnyddiwr dilys achub allwedd IPsec anghywir, ac ni all allwedd gywir achub cyfrinair sydd wedi dod i ben. Ysgrifennwch y ddau ar wahân yn y tocyn ac mae’r diagnosis fel arfer yn disgyn allan o’r llinell log gyntaf sy’n enwi cam.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Mae’r gyfrinach a rennir yn profi’r cymar
Mae allwedd a rennir ymlaen llaw yn gymhwyster grŵp a gedwir gan y porth a chan bob cleient sy’n cysylltu ag ef. Mae’n sefydlu bod y cymar yn gwybod yr allwedd, ac ohoni mae IKE yn deillio’r allweddi sy’n amddiffyn y cysylltiad. Nid oes unrhyw beth yn y cyfnewid hwnnw’n adnabod y person wrth y bysellfwrdd. Dyna’r union reswm y mae ail fewngofnodi ar lefel defnyddiwr yn bodoli yn yr un twnnel.
Mae gan y dyluniad hwnnw ganlyniad ymarferol i ddirymu. Mae colli un gliniadur yn golygu troi’r gyfrinach ar gyfer pob dyfais sy’n ei defnyddio, oni bai bod y defnydd yn symud i dystysgrifau, lle gellir tynnu un ddyfais heb gyffwrdd â’r lleill. Y fasnach yw ymdrech weinyddol yn erbyn maint y difrod.
Allwedd sy’n cael ei theipio i broffil hefyd yw’r cymhwyster hawddaf i’w ollwng drwy sgrinluniau a sgwrs. Triniwch hi fel deunydd seilwaith a rennir yn hytrach nag fel cyfrinair personol, oherwydd dyna’n union ydyw.
Mae’r mewngofnodi yn perthyn i PPP
O fewn sesiwn L2TP, mae PPP yn trafod dilysu ac yn gofyn i’r gweinydd wirio’r pâr o werthoedd a deipiwyd gennych. Ar Windows dyna’r un enw defnyddiwr a chyfrinair y mae’r proffil yn gofyn amdanynt, ac ar lwybrydd dyna beth bynnag y mae’r proffil PPP yn cyfeirio ato. Mae’n cael ei wirio yn erbyn storfa’r cyfrifon, nid yn erbyn yr allwedd. Gall dau berson rannu gliniadur ac allwedd ac eto gael eu gwahaniaethu ar y cam hwn.
Gan mai dilysu defnyddiwr ydyw, mae pob polisi cyfrif arferol yn berthnasol: cyfrinair wedi dod i ben, cyfrif wedi’i gloi, caniatâd deialu i mewn, neu enw sy’n gorfod cario parth. Mae gwall 691 yn adrodd bod y cyfuniad hwnnw wedi’i wrthod, felly darllenwch gofnod cyfrifyddu’r gweinydd cyn i chi aildeipio unrhyw beth.
Gadewch i’r gwall ddewis y maes
Mae gwall 789 yn enwi’r haen ddiogelwch ac yn pwyntio at gam IPsec. Cadarnhewch fod yr allwedd a rennir ymlaen llaw ar y ddwy ochr yn cyfateb yn union, bod hunaniaeth y cymar a ddisgwylir gan y porth yn cyfateb i’r hyn y mae’r cleient yn ei anfon, a bod y cleient wedi’i ffurfweddu ar gyfer L2TP/IPsec yn hytrach na math arall.
Mae gwall 691 yn enwi cymwysterau ac yn pwyntio at PPP. Gwiriwch gyflwr y cyfrif a fformat manwl gywir yr enw cyn newid y gyfrinach, oherwydd mae newid y ddau ar unwaith yn dinistrio’r dystiolaeth yr oeddech yn ei darllen.
Pan fydd y twnnel yn codi ac mae traffig yn dal i stopio, stopiwch olygu meysydd dilysu yn gyfan gwbl. Edrychwch ar y pwll cyfeiriadau, y llwybr yn ôl i isrwyd y cleient, a’r MTU: dim ond tra bo’r methiant o hyd o fewn y ddwy haen y mae cymharu’r ddwy haen yn helpu.