Η ανταλλαγή IKEv2 λειτουργεί και μετά αποτυγχάνει η ταυτοποίηση: πού

Ένας πελάτης που λαμβάνει απάντηση IKEv2 έχει αποδείξει ότι η πύλη είναι προσβάσιμη, ότι και οι δύο πλευρές μπορούν να διαπραγματευτούν μια πρόταση και ότι η αρχική ανταλλαγή κλειδιών ολοκληρώθηκε. Δεν έχει αποδείξει ότι κάποιος έχει ταυτοποιηθεί. Η επόμενη ανταλλαγή μεταφέρει ταυτότητες, πιστοποιητικά ή EAP, και εκεί συνήθως σταματά η σύνδεση. Το να διαβάσετε ποιος από αυτούς τους ελέγχους απέτυχε είναι όλη η διάγνωση, και το μήνυμα σφάλματος μόνο του σπάνια το λέει.

Έλεγχος 1: διαβάστε το στάδιο, όχι το μήνυμα

Μια απόρριψη μπορεί να προέλθει από τρία σημεία: ο πελάτης απορρίπτει την ταυτότητα του διακομιστή, η πύλη απορρίπτει την απόδειξη του πελάτη και μια εξωτερική υπηρεσία ταυτοποίησης απορρίπτει τον λογαριασμό.

Κάθε μία παράγει διαφορετική γραμμή καταγραφής σε διαφορετικό μηχάνημα και κάθε μία έχει διαφορετική διόρθωση. Η απόρριψη του πιστοποιητικού του διακομιστή από την πλευρά του πελάτη είναι πρόβλημα εμπιστοσύνης ή ονόματος στον πελάτη, η απόρριψη του πιστοποιητικού του πελάτη από την πύλη είναι πρόβλημα εμπιστοσύνης στην πύλη, και μια αποτυχία EAP είναι πρόβλημα λογαριασμού ή backend. Το μήνυμα που βλέπετε είναι συνήθως η σύνοψη του πελάτη για ένα από αυτά, γι’ αυτό το αρχείο καταγραφής της πύλης έχει την ίδια σημασία με του πελάτη.

Έλεγχος 2: ποια ταυτότητα ελέγχθηκε

Ο πελάτης μπορεί να απορρίψει το πιστοποιητικό του διακομιστή ή την αναμενόμενη ταυτότητα πριν προσφερθεί οποιοδήποτε διαπιστευτήριο χρήστη, και μια διεύθυνση διακομιστή που λειτουργεί δεν υποκαθιστά αυτόν τον έλεγχο. Το αναγνωριστικό που περιμένει ο πελάτης πρέπει να ταιριάζει με αυτό που παρουσιάζει η πύλη, και αυτό είναι γεγονός διαμόρφωσης και όχι δικτύου.

Με την ορολογία του strongSwan αυτό είναι rightid στον πελάτη και η ίδια η ταυτότητα της πύλης στην άλλη πλευρά, και μια ασυμφωνία αποτυγχάνει πριν καν συζητηθεί το EAP.

Η πύλη, ξεχωριστά, μπορεί να απορρίψει το πιστοποιητικό του πελάτη, την απόδειξη του κλειδιού του ή την ταυτοποίηση του λογαριασμού του, και αυτά τα τρία δεν είναι εναλλάξιμα. Η επαναφορά του κωδικού πρόσβασης δεν ανανεώνει πιστοποιητικό συσκευής, και η επανεγκατάσταση πιστοποιητικού συσκευής δεν διορθώνει λάθος ταυτότητα διακομιστή. Σε αποτυχίες πιστοποιητικών, ελέγξτε πρώτα το ρολόι, μετά την αλυσίδα εμπιστοσύνης, μετά το αναμενόμενο αναγνωριστικό, γιατί ένας πελάτης με ρολόι μερικά λεπτά εκτός αποτυγχάνει σε έλεγχο εγκυρότητας που μοιάζει με αποτυχία εμπιστοσύνης. swanctl --list-certs στα δύο άκρα δείχνει τι έχει πραγματικά κάθε πλευρά.

Έλεγχος 3: αν παίζει ρόλο το EAP

Ο πελάτης και ο διακομιστής πρέπει να συμφωνήσουν σε μια υποστηριζόμενη μέθοδο, και το backend πρέπει να δεχτεί την ταυτότητα που παρέχεται.

Ένα όνομα χρήστη μπορεί να χρειάζεται κατάληξη τομέα ή συγκεκριμένη μορφή λογαριασμού που απαιτεί η ανάπτυξη, και η μορφή τεκμηριώνεται αντί να μαντεύεται. Το να δώσετε τα τεκμηριωμένα πεδία του διαχειριστή είναι ταχύτερο από το να δοκιμάζετε παραλλαγές, και αποφεύγει ένα δεύτερο πρόβλημα: οι επαναλαμβανόμενες προσπάθειες μπορούν να ενεργοποιήσουν κλείδωμα λογαριασμού, το οποίο μετά κρύβει το αρχικό στάδιο πίσω από μια νέα αποτυχία. Αν η μέθοδος είναι EAP-MSCHAPv2 έναντι καταλόγου, η αποτυχία μπορεί να ανήκει στον κατάλογο και όχι στο VPN.

Μην δοκιμάζετε προβλήματα ταυτότητας απενεργοποιώντας τους ελέγχους ταυτότητας. Αυτό μετατρέπει μια διαγνώσιμη αποτυχία σε μη διαγνώσιμη και αφήνει τη σύνδεση πιο αδύναμη από πριν.

Έλεγχος 4: τι συμβαίνει μετά από επιτυχή σύνδεση

Μόλις ολοκληρωθεί το IKE_AUTH, η διαπραγμάτευση CHILD_SA καθορίζει ποιοι επιλογείς κίνησης εγκαθίστανται, και εκεί μια σύνδεση μπορεί να πετύχει και παρ’ όλα αυτά να μη μεταφέρει τίποτα.

Μια σύνδεση που μόλις άρχισε να λειτουργεί συχνά αποκαλύπτει πρόβλημα επιλογέα ή διαδρομής που πριν ήταν κρυμμένο πίσω από την αποτυχία ταυτοποίησης. Αν η σήραγγα σηκωθεί και μια εφαρμογή ακόμη δεν φτάνει στον προορισμό της, κοιτάξτε τους διαπραγματευμένους επιλογείς και τις διαδρομές και όχι ξανά την ταυτότητα. Η αλλαγή ρυθμίσεων ταυτότητας σε εκείνο το σημείο στοχεύει λάθος στάδιο και συνήθως σπάει μια σύνδεση που δουλεύει. Επιβεβαιώστε με swanctl --list-sas, που δείχνει τα παιδιά και τους επιλογείς τους χωριστά από το IKE SA.

Έλεγχος 5: τι να δώσετε στην υποστήριξη

Ένα καθαρισμένο χρονολόγιο και η ακριβής απόρριψη αξίζουν περισσότερο από μια πλήρη διαγνωστική εξαγωγή, και η εξαγωγή μπορεί να περιέχει ιδιωτικά κλειδιά ή διαπιστευτήρια που δεν θα έπρεπε να μοιράζεστε.

Καταγράψτε την ώρα με τη ζώνη ώρας, τις εκδόσεις πελάτη και πύλης, τη μέθοδο, τη συμβολοσειρά ταυτότητας που προσφέρθηκε και όχι τον κωδικό πρόσβασης, και το ακριβές στάδιο που την απέρριψε. η τεκμηρίωση διαμόρφωσης IKEv2 του strongSwan περιγράφει τις ρυθμίσεις ταυτότητας και EAP που καθορίζουν αυτά τα αποτελέσματα, και είναι η αναφορά που πρέπει να διαβάσετε πριν αλλάξετε ένα πεδίο. Έπειτα αλλάξτε ένα πράγμα και δοκιμάστε ξανά μια νέα σύνδεση, γιατί μια προσωρινά αποθηκευμένη συνεδρία θα σας μιλήσει για την παλιά διαμόρφωση.