L2TP/IPsec yn methu: arwahanwch IPsec, dilysu'r twnnel neu fewngofnodi PPP

Mae tair peth yn dilysu y tu mewn i un cysylltiad L2TP/IPsec, a dim ond un ohonynt sy'n ymwneud â'r person sy'n ffonio i mewn. Mae IPsec yn profi penau'r twnnel, gall y cysylltiad rheoli L2TP brofi'r cymheiriaid eto gyda'i gyfrinach ei hun, ac wedyn mae PPP yn profi cyfrif y defnyddiwr y tu mewn i'r sesiwn. Mae methiant ar unrhyw gam yn edrych fel gwall mewngofnodi cyffredinol yn nheialog y cleient ac yn edrych yn hollol wahanol yn log y gweinydd. Cerddwch drwy'r camau yn eu trefn a stopiwch ar yr un cyntaf sy'n methu, oherwydd mae pob cam o dan un heb ei brofi hefyd heb ei brofi.

Tri cham dilysu, tair hunaniaeth wahanol

Mae IPsec yn profi pwy sy'n berchen ar y penau, gan ddefnyddio allwedd a rennir ymlaen llaw neu dystysgrif. Mae'r hunaniaeth honno'n perthyn i beiriannau neu giâtweithwyr, byth i'r dyn wrth y bysellfwrdd. Pan na all y cymheiriaid gytuno ar y cam hwn, ni chenfir unrhyw becyn L2TP o gwbl.

Gall y cysylltiad rheoli L2TP ychwanegu ail gyfnewid her ac ymateb ar wahân, wedi'i yrru gan gyfrinach a rennir y mae'n rhaid i'r ddau ben ei chadw.

Mae RFC 2661 yn gwneud y dilysu cysylltiad rheoli hwnnw'n ddewisol, sy'n esbonio pam mae'r un camgymeriad yn rhoi symptomau gwahanol ar ddau weinydd. Mae gosodiad nad yw erioed wedi ffurfweddu cyfrinach twnnel yn hepgor y cam yn gyfan gwbl; mae un sydd wedi'i ffurfweddu ar un ochr yn unig yn methu cyn i PPP gael ei gynnig o gwbl. Wedyn mae PPP yn dilysu'r defnyddiwr gyda PAP, CHAP neu MSCHAPv2 ac yn trosglwyddo'r enw i storfa gyfrif a all fod yn lleol, yn chap-secrets, neu ar RADIUS. Mae cyfrinair anghywir ar y pwynt hwnnw yn eich gadael o hyd gyda thwnnel sy'n gweithio a sesiwn sydd wedi methu.

Darllenwch y pwynt stopio cyn i chi olygu ffurfweddiad

Dechreuwch gyda ipsec --version fel y gwyddoch a yw'r allbwn statws yn perthyn i strongSwan neu Libreswan. Yna darllenwch log y gweinydd, nid deialog y cleient, oherwydd y gweinydd sy'n cofnodi pa gam a wrthododd.

Mae un llinell fel arfer yn setlo'r tocyn: cwyn IKE neu gwyn am y cynigion yw cam un, neges cysylltiad rheoli yw cam dau, ac ymwrthod â dull PPP neu â chyfrif yw cam tri. Copïwch y llinell honno i'r tocyn gyda'r stamp amser. Mae dyfalu o ochr y cleient yn gwastraffu'r un darn o dystiolaeth sydd gennych yn barod.

Cadwch ddeunydd allweddol a chyfrineiriau allan o'r gludiad hwnnw; mae enw'r cam yn cyfeirio'r gwaith, ac mae allwedd a rennir sydd wedi gollwng yn ailagor y tocyn â chanlyniadau gwaeth.

Cam un: a oes gan IPsec gysylltiad?

Rhedwch ipsec statusall ar strongSwan neu ipsec whack --status ar Libreswan a chwiliwch am gysylltiad plentyn sefydlog â chyfrifwyr nad ydynt yn sero. Mae ip xfrm state yn dangos golwg y cnewyllyn ar y ddau. Mae pâr o SA wedi'u gosod â chyfrifwyr yn dringo yn golygu bod cam un wedi'i gwblhau a'ch bod yn gallu symud ymlaen.

Mae diffyg cysylltiad o gwbl yn cyfeirio at gyfeiriad y cymheir, y set o gynigion, neu'r allwedd a rennir, ac weithiau at ddyfais sy'n ailysgrifennu UDP 500 tra'n gollwng UDP 4500. Mae cysylltiad sy'n sefydlu ac yna'n diflannu ar ôl ychydig eiliadau fel arfer yn gamgymariaeth oes rhwng y ddau ben yn hytrach na phroblem â chymwysterau. Gwiriwch a yw'r ddwy ochr yn rhestru'r un cynigion amgryptio a hash cyn i chi ail deipio unrhyw beth. Os nad ydynt, ni fydd unrhyw allwedd byth yn gweithio.

Stopiwch tra bo'r cysylltiad ar goll. Nid yw golygu opsiynau PPP ar y pwynt hwnnw'n newid dim ac mae'n cuddio'r gwall go iawn rhag y person nesaf.

Cam dau: a ddilysodd y cysylltiad rheoli L2TP?

Unwaith y bydd IPsec i fyny, gwyliwch daemon L2TP am gysylltiad rheoli sy'n cyrraedd cyflwr sefydlog, gan na all PPP ddechrau cyn hynny. Mae ymwrthod ar y cysylltiad rheoli yn golygu bod cyfrinach y twnnel yn wahanol rhwng y penau, neu fod un pen yn mynnu cyfrinach nad yw'r llall byth yn ei hanfon. Mae cleientiaid yn aml yn dangos un maes wedi'i labelu'n gyfrinach a rennir, ac fel arfer mae'n perthyn i IPsec yn hytrach nag i L2TP. Nid yw ei lenwi yn ffurfweddu cyfrinach y twnnel, ac nid yw ei glirio yn ei anablu.

Os nad oes gan y naill ben na'r llall gyfrinach twnnel wedi'i ffurfweddu, hepgorwch y cam hwn a thriniwch fethiant cysylltiad rheoli fel cyrhaeddiad yn lle hynny. Cadarnhewch fod UDP 1701 yn cyrraedd y daemon a bod y ddau ben yn cytuno ar yr un amgáu. Mae rheol wal dân wedi'i hysgrifennu ar gyfer un o'r ddau amod hynny yn achos cyffredin o gysylltiad sy'n agor yn hanner.

Dim ond sesiwn sy'n dechrau trafod PPP sydd wedi clirio cam y twnnel mewn gwirionedd.

Cam tri: a yw PPP yn gwrthod y cyfrif?

Mae methiant PPP yn edrych yn wahanol o'r tu allan: mae'r twnnel wedi'i sefydlu, mae'r sesiwn yn dechrau, ac mae'r daemon yn cofnodi methiant dull dilysu neu wrthodiad cyfrif. Darllenwch y dull a enwir yn y neges honno. Mae PAP a CHAP yn methu am resymau gwahanol, a bydd gweinydd sy'n gwrthod un yn gwrthod cleient sy'n cynnig yr un hwnnw yn unig.

Ar weinydd Linux, archwiliwch y ffeil opsiynau y mae'r daemon yn ei rhoi i PPP, fel arfer /etc/ppp/options.xl2tpd, a chadarnhewch pa ddulliau a dderbynnir a ble mae cyfrifon yn cael eu datrys. Mae enw sy'n bodoli yn RADIUS ond nid yn y ffeil gyfrinachau leol yn methu'n lân ac yn edrych fel cyfrinair gwael. Yna gwiriwch fod y cleient yn cynnig dull y mae'r gweinydd yn ei dderbyn, yn hytrach nag un cryfach y mae'r gweinydd yn gwrthod trafod. Mae newid yr allwedd a rennir i atgyweirio'r cam hwn yn gwastraffu prynhawn ac yn newid dim.

Pan ddaw'r sesiwn i fyny o'r diwedd, mae dyrannu cyfeiriadau, DNS a llwybrau yn dal heb eu gwirio, ac mae pob un yn methu'n dawel yn ei ffordd ei hun. Cadwch y tair haen ar wahân yn eich nodiadau: mae allwedd gywir gyda chyfrif anghywir bob amser yn methu, ac nid yw atgyweirio un haen byth yn atgyweirio un arall.