Gemeinsames Geheimnis oder Benutzeranmeldung: Welches L2TP/IPsec-Feld ist gescheitert?
Ein vorab geteilter Schlüssel beweist den Peer, während PPP-Benutzername und -Passwort die Person beweisen. Der Fehlercode sagt, welche der beiden Schichten ausgefallen ist.
Ein Büro kann dasselbe IPsec-Geheimnis an jeden Laptop ausgeben, während sich jede Person trotzdem mit einem eigenen Konto anmeldet, und deshalb können „der Schlüssel stimmt” und „das Passwort stimmt” beide wahr sein und die Anmeldung trotzdem scheitern. L2TP und IPsec authentifizieren verschiedene Parteien in verschiedenen Phasen. Ein Vergleich der beiden Schichten und der Fehlercode, der sie trennt, beenden die meisten dieser Tickets schneller als ein weiterer Tausch beider Werte. Die Phasen sind nicht austauschbar, und die Meldung vor Ihnen sagt bereits, welche im Spiel ist.
Zwei Schichten, zwei verschiedene Identitäten
Zuerst läuft die IPsec-Peer-Authentifizierung. Client und Gateway weisen sich gegenseitig aus, mit einem vorab geteilten Schlüssel oder einem Zertifikat, bevor irgendeine Tunnel-Nutzlast geschützt wird. Der PPP-Austausch innerhalb der L2TP-Sitzung folgt danach, und dort werden Benutzername und Passwort gegen den Kontenspeicher des Servers geprüft.
Die Phasen sind unabhängig, also ein gültiges Benutzerkonto rettet keinen falschen IPsec-Schlüssel, und ein korrekter Schlüssel rettet kein abgelaufenes Passwort. Schreiben Sie beide getrennt ins Ticket, und die Diagnose fällt meist aus der ersten Logzeile, die eine Phase nennt.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Das gemeinsame Geheimnis beweist den Peer
Ein vorab geteilter Schlüssel ist ein Gruppengeheimnis, das das Gateway und jeder Client, der sich verbindet, besitzen. Er belegt, dass der Peer den Schlüssel kennt, und daraus leitet IKE die Schlüssel ab, die die Verbindung schützen. Nichts an diesem Austausch identifiziert den Menschen an der Tastatur. Genau deshalb existiert eine zweite Anmeldung auf Benutzerebene im selben Tunnel.
Dieses Design hat eine praktische Folge für den Widerruf. Der Verlust eines Laptops bedeutet, das Geheimnis für jedes Gerät zu rotieren, das es nutzt, es sei denn, die Bereitstellung wechselt zu Zertifikaten, wo ein einzelnes Gerät entfernt werden kann, ohne die übrigen anzufassen. Der Handel ist Verwaltungsaufwand gegen Schadensradius.
Ein Schlüssel, der in ein Profil getippt wird, ist auch die am leichtesten über Screenshots und Chats leckende Zugangsinformation. Behandeln Sie ihn als gemeinsames Infrastrukturmaterial und nicht als persönliches Passwort, denn genau das ist er.
Die Anmeldung gehört zu PPP
Innerhalb der L2TP-Sitzung handelt PPP die Authentifizierung aus und bittet den Server, das von Ihnen eingegebene Wertepaar zu prüfen. Unter Windows sind das derselbe Benutzername und dasselbe Passwort, die das Profil abfragt, und auf einem Router das, worauf das PPP-Profil verweist. Geprüft wird gegen den Kontenspeicher, nicht gegen den Schlüssel. Zwei Personen können einen Laptop und einen Schlüssel teilen und werden in dieser Phase trotzdem unterschieden.
Weil es Benutzerauthentifizierung ist, gelten alle üblichen Kontorichtlinien: abgelaufenes Passwort, gesperrtes Konto, Einwählberechtigung oder ein Name, der eine Domäne tragen muss. Fehler 691 meldet diese Kombination als abgelehnt, also lesen Sie den Abrechnungssatz des Servers, bevor Sie etwas neu tippen.
Lassen Sie den Fehler das Feld wählen
Fehler 789 nennt die Sicherheitsschicht und zeigt auf die IPsec-Phase. Bestätigen Sie, dass der vorab geteilte Schlüssel auf beiden Seiten exakt übereinstimmt, dass die vom Gateway erwartete Peer-Identität dem entspricht, was der Client sendet, und dass der Client für L2TP/IPsec und nicht für einen anderen Typ konfiguriert ist.
Fehler 691 nennt Anmeldedaten und zeigt auf PPP. Prüfen Sie den Kontostatus und das genaue Namensformat, bevor Sie das Geheimnis ändern, denn beides gleichzeitig zu ändern zerstört den Beweis, den Sie gelesen haben.
Wenn der Tunnel steht und der Verkehr trotzdem stoppt, hören Sie ganz auf, Authentifizierungsfelder zu bearbeiten. Sehen Sie sich den Adresspool, die Route zurück ins Client-Subnetz und die MTU an: ein Vergleich der beiden Schichten hilft nur, solange der Fehler noch in ihnen liegt.