Un gwall, tair cyfrinach: pa fanylyn mewngofnodi VPN a fethodd?
Mae’r cleient yn dangos un gwall ar gyfer pob cam. Darllenwch y gymdeithas, y cyfnewid defnyddiwr a’r dull cyn ailosod cyfrinair nad oedd neb wedi’i wirio.
Gall «dilysu wedi methu» bwyntio at dystysgrif gweinydd, at allwedd a rannwyd ymlaen llaw ar gyfer y peiriant, neu at gyfrinair defnyddiwr. Pa un y mae’n ei olygu sy’n dibynnu ar y protocol, oherwydd mae pob protocol yn diffinio set wahanol o gyfrinachau. Ailosodwch yr un anghywir ac mae’r gwall yn goroesi heb newid. Y ffordd allan yw sefydlu faint o brawf y mae’r protocol yn ei ofyn cyn golygu unrhyw beth.
Dau brawf yn pwyntio i gyfeiriadau croes
Rhaid i dwnel ateb a gyrhaeddodd y porth cywir, ac ar wahân pwy yw’r defnyddiwr. Mae prawf y porth ar lefel peiriant: tystysgrif gweinydd, allwedd a rannwyd ymlaen llaw neu allwedd gyhoeddus statig. Mae prawf y defnyddiwr ar lefel person: cyfrinair, tocyn, tystysgrif cleient, neu ddim byd o gwbl. Cyfeiriadau croes o ymddiriedaeth yw’r rhain ac maent yn defnyddio deunydd gwahanol.
Mae IKEv2 yn cyflawni prawf y porth y tu mewn i IKE_AUTH ac, pan ddefnyddir EAP, yn rhedeg prawf y defnyddiwr mewn cyfnewid ar wahân wedyn. Mae manyleb IKEv2 yn eu cadw fel adrannau ar wahân, sy’n awgrym cryf ynghylch ble i edrych pan fydd un neges yn cwmpasu’r ddwy rownd.
Darllenwch y cam, nid y neges
Mae’r cleient yn dangos un llinyn gwall waeth pa gam a fethodd, felly nid yw’r llinyn ei hun yn cario bron dim gwybodaeth. Yr hyn sy’n cario gwybodaeth yw’r cyflwr y gallwch ei archwilio ar bob cam: a oes cymdeithas, a ddechreuodd cyfnewid defnyddiwr, ac a gynigiodd y cleient y dull yr oedd y porth ei eisiau. Mae’r tabl yn trefnu’r camau felly yn lle yn ôl enw’r protocol.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Dim ond yr ail res sydd ynghylch manylyn y gall defnyddiwr ei deipio eto. Mae’r tair arall yn ffeithiau ffurfweddu, a’r camgymhariad hwnnw yw’r rheswm pam mae cymaint o’r adroddiadau hyn yn gorffen gydag ailosod cyfrinair nad yw’n newid dim. Darllenwch y rhes sy’n cyfateb i’ch prawf cyn cyffwrdd â maes.
Mae protocol dau gyfrinach yn dangos ei law
L2TP dros IPsec yn gwneud y cyfrif yn weladwy, oherwydd mae’r ddau wiriad yn digwydd mewn prosesau gwahanol. Rhaid i’r haen IPsec godi gyntaf gydag allwedd a rannwyd ymlaen llaw neu dystysgrif, a dim ond wedyn y mae PPP y tu mewn iddi yn ceisio mewngofnodi defnyddiwr.
Pan fo cyfrinach y peiriant yn anghywir, ni ffurfir cymdeithas ac ni cheisir manylyn y defnyddiwr byth. Pan fo cyfrinach y peiriant yn gywir a chyfrinach y defnyddiwr yn anghywir, mae’r gymdeithas yn bodoli ac mae PPP yn gwrthod y mewngofnodi ar ôl i’r twnel fod i fyny yn barod. Mae’r ddau yn cynhyrchu’r un neges ar y sgrin o ddau ddigwyddiad gwahanol.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerMae rhestr gymdeithasau wag yn dileu’r haen defnyddiwr ar unwaith, felly gwiriwch hi cyn y cyfrinair. Mae cymdeithas sefydledig â methiannau PPP dro ar ôl tro yn pwyntio’r llall, at yr haen defnyddiwr neu at y protocol dilysu y tu mewn iddi. Nid oes modd cael y naill gasgliad na’r llall o destun gwall y cleient.
Ar beth mae mynediad cyfrinair-yn-unig yn dibynnu mewn gwirionedd
Mae mynediad cyfrinair-yn-unig yn gyffredin ar gyfer L2TP, PPTP, SSTP ac IKEv2 gydag EAP. Nid oes gan WireGuard y fath opsiwn o gwbl, oherwydd allweddi, nid defnyddwyr, yw ei gymheiriaid. Ar gyfer OpenVPN daw’r ateb o ofyniad tystysgrif cleient y gweinydd: bydd porth sy’n mynnu tystysgrif a chyfrinair ill dau yn dal i wrthod cleient cyfrinair-yn-unig, beth bynnag a deipiwyd i’r maes.
Mae pa gydran sydd ei hangen arnoch yn dilyn o’r un ateb. Mae mewngofnodi cyfrinair o dan IKEv2 yn gofyn am gleient sy’n siarad EAP, tra mae mewngofnodi tystysgrif angen allwedd breifat y cleient a chadwyn y gweinydd. Gosodwch yr un anghywir ac mae’r methiant yn darllen fel gwall manylyn, er mai’r dull dilysu ei hun sydd ar goll.
Newidiwch un peth, yna ailbrofwch
Sefydlwch tair ffaith yn gyntaf: pa protocol sy’n rhedeg, faint o gyfrinachau y mae’n eu diffinio, a pha rai ohonynt sy’n perthyn i’r peiriant yn hytrach na’r defnyddiwr. Mae peiriannau’n methu yn y cam cyntaf ac mae pobl yn methu yn yr ail, a drysu’r ddau yw’r broblem i gyd.
Yna newidiwch yn union un peth ac ailbrofwch o’r un cleient. Mae’r ddisgyblaeth hon yn troi methiant dryslyd yn atgyweiriad y gallwch ei ddisgrifio i’r person nesaf, sy’n fwy defnyddiol na chysylltiad gweithredol na all neb ei egluro.