Κοινό μυστικό ή σύνδεση χρήστη: ποιο πεδίο του L2TP/IPsec απέτυχε;

Ένα γραφείο μπορεί να δώσει το ίδιο μυστικό IPsec σε κάθε φορητό, ενώ κάθε άτομο συνδέεται με δικό του λογαριασμό, και γι’ αυτό «το κλειδί είναι σωστό» και «ο κωδικός είναι σωστός» μπορούν να ισχύουν ταυτόχρονα και η σύνδεση να αποτυγχάνει. L2TP και IPsec πιστοποιούν διαφορετικά μέρη σε διαφορετικά στάδια. Μια σύγκριση των δύο επιπέδων, και ο κωδικός σφάλματος που τα χωρίζει, κλείνουν τα περισσότερα από αυτά τα δελτία πιο γρήγορα από μια ακόμη ανταλλαγή και των δύο τιμών. Τα στάδια δεν είναι εναλλάξιμα, και το μήνυμα μπροστά σας λέει ήδη ποιο είναι σε ισχύ.

Δύο επίπεδα, δύο διαφορετικές ταυτότητες

Πρώτα εκτελείται η πιστοποίηση ομοτίμου του IPsec. Ο πελάτης και η πύλη αποδεικνύουν ο ένας στον άλλο ποιοι είναι, με προ-κοινόχρηστο κλειδί ή πιστοποιητικό, πριν προστατευθεί οποιοδήποτε ωφέλιμο φορτίο σήραγγας. Η ανταλλαγή PPP μέσα στη συνεδρία L2TP ακολουθεί, και εκεί ελέγχονται το όνομα χρήστη και ο κωδικός σας έναντι της αποθήκης λογαριασμών του διακομιστή.

Τα στάδια είναι ανεξάρτητα, οπότε ένας έγκυρος λογαριασμός χρήστη δεν μπορεί να σώσει ένα λάθος κλειδί IPsec, και ένα σωστό κλειδί δεν μπορεί να σώσει έναν ληγμένο κωδικό. Γράψτε τα δύο χωριστά στο δελτίο και η διάγνωση συνήθως προκύπτει από την πρώτη γραμμή καταγραφής που ονομάζει στάδιο.

Το κοινό μυστικό αποδεικνύει τον ομότιμο

Ένα προ-κοινόχρηστο κλειδί είναι διαπιστευτήριο ομάδας που κατέχει η πύλη και κάθε πελάτης που συνδέεται σε αυτήν. Αποδεικνύει ότι ο ομότιμος γνωρίζει το κλειδί, και από αυτό το IKE παράγει τα κλειδιά που προστατεύουν τη σύνδεση. Τίποτα σε αυτή την ανταλλαγή δεν ταυτοποιεί τον άνθρωπο στο πληκτρολόγιο. Γι’ αυτόν ακριβώς τον λόγο υπάρχει δεύτερη σύνδεση σε επίπεδο χρήστη στην ίδια σήραγγα.

Αυτός ο σχεδιασμός έχει πρακτική συνέπεια για την ανάκληση. Η απώλεια ενός φορητού σημαίνει εναλλαγή του μυστικού για κάθε συσκευή που το χρησιμοποιεί, εκτός αν η ανάπτυξη περάσει σε πιστοποιητικά, όπου μια μεμονωμένη συσκευή αφαιρείται χωρίς να αγγίξει τις υπόλοιπες. Το αντιστάθμισμα είναι διοικητικός κόπος έναντι εύρους ζημιάς.

Ένα κλειδί που πληκτρολογείται σε προφίλ είναι επίσης το διαπιστευτήριο που διαρρέει ευκολότερα μέσω στιγμιότυπων οθόνης και συνομιλιών. Αντιμετωπίστε το ως υλικό κοινής υποδομής και όχι ως προσωπικό κωδικό, γιατί ακριβώς αυτό είναι.

Η σύνδεση ανήκει στο PPP

Μέσα στη συνεδρία L2TP, το PPP διαπραγματεύεται την πιστοποίηση και ζητά από τον διακομιστή να επαληθεύσει το ζεύγος τιμών που πληκτρολογήσατε. Στα Windows είναι το ίδιο όνομα χρήστη και ο ίδιος κωδικός που ζητά το προφίλ, και σε έναν δρομολογητή είναι ό,τι αναφέρει το προφίλ PPP. Ελέγχεται έναντι της αποθήκης λογαριασμών, όχι έναντι του κλειδιού. Δύο άτομα μπορούν να μοιράζονται φορητό και κλειδί και να ξεχωρίζουν ακόμη σε αυτό το στάδιο.

Επειδή είναι πιστοποίηση χρήστη, ισχύουν όλες οι συνήθεις πολιτικές λογαριασμού: ληγμένος κωδικός, κλειδωμένος λογαριασμός, άδεια κλήσης ή όνομα που πρέπει να φέρει τομέα. Το σφάλμα 691 αναφέρει αυτόν τον συνδυασμό ως απορριφθέντα, οπότε διαβάστε το λογιστικό αρχείο του διακομιστή πριν ξαναπληκτρολογήσετε οτιδήποτε.

Αφήστε το σφάλμα να διαλέξει το πεδίο

Το σφάλμα 789 ονομάζει το επίπεδο ασφαλείας και δείχνει το στάδιο IPsec. Επιβεβαιώστε ότι το προ-κοινόχρηστο κλειδί και στις δύο πλευρές ταιριάζει ακριβώς, ότι η ταυτότητα ομοτίμου που περιμένει η πύλη ταιριάζει με αυτό που στέλνει ο πελάτης, και ότι ο πελάτης έχει ρυθμιστεί για L2TP/IPsec και όχι για άλλο τύπο.

Το σφάλμα 691 ονομάζει διαπιστευτήρια και δείχνει το PPP. Ελέγξτε την κατάσταση του λογαριασμού και την ακριβή μορφή ονόματος πριν αλλάξετε το μυστικό, γιατί η αλλαγή και των δύο μαζί καταστρέφει την απόδειξη που διαβάζατε.

Όταν η σήραγγα σηκωθεί και η κίνηση εξακολουθεί να σταματά, σταματήστε εντελώς να επεξεργάζεστε πεδία πιστοποίησης. Κοιτάξτε τη δεξαμενή διευθύνσεων, τη διαδρομή πίσω στο υποδίκτυο του πελάτη και το MTU: η σύγκριση των δύο επιπέδων βοηθά μόνο όσο η βλάβη είναι ακόμη μέσα τους.