Αποτυγχάνει το L2TP/IPsec: απομονώστε το IPsec, τον έλεγχο ταυτότητας σήραγγας ή τη σύνδεση PPP

Μέσα σε μία σύνδεση L2TP/IPsec πιστοποιούνται τρία πράγματα, και μόνο ένα από αυτά αφορά το άτομο που καλεί. Το IPsec αποδεικνύει τα άκρα της σήραγγας, η σύνδεση ελέγχου L2TP μπορεί να αποδείξει ξανά τους ομοτίμους με το δικό της μυστικό, και έπειτα το PPP αποδεικνύει τον λογαριασμό χρήστη μέσα στη συνεδρία. Μια αποτυχία σε οποιοδήποτε στάδιο φαίνεται σαν γενικό σφάλμα σύνδεσης στον διάλογο του πελάτη και φαίνεται εντελώς διαφορετική στο αρχείο καταγραφής του διακομιστή. Διαβείτε τα στάδια με τη σειρά και σταματήστε στο πρώτο που αποτυγχάνει, γιατί κάθε στάδιο κάτω από ένα μη δοκιμασμένο είναι κι αυτό μη δοκιμασμένο.

Τρία στάδια ελέγχου ταυτότητας, τρεις διαφορετικές ταυτότητες

Το IPsec αποδεικνύει σε ποιον ανήκουν τα άκρα, χρησιμοποιώντας ένα προκοινόμενο κλειδί ή ένα πιστοποιητικό. Αυτή η ταυτότητα ανήκει σε μηχανήματα ή πύλες, ποτέ στον άνθρωπο στο πληκτρολόγιο. Όταν οι ομότιμοι δεν μπορούν να συμφωνήσουν σε αυτό το στάδιο, δεν ανταλλάσσεται καθόλου πακέτο L2TP.

Η σύνδεση ελέγχου L2TP μπορεί να προσθέσει μια δεύτερη, ξεχωριστή ανταλλαγή πρόκλησης και απόκρισης που καθοδηγείται από ένα κοινό μυστικό το οποίο πρέπει να έχουν και τα δύο άκρα.

Το RFC 2661 καθιστά προαιρετικό αυτόν τον έλεγχο ταυτότητας της σύνδεσης ελέγχου, κάτι που εξηγεί γιατί το ίδιο λάθος δίνει διαφορετικά συμπτώματα σε δύο διακομιστές. Μια εγκατάσταση που δεν ρύθμισε ποτέ μυστικό σήραγγας παραλείπει το στάδιο εντελώς· μία που το ρύθμισε μόνο στη μία πλευρά αποτυγχάνει πριν καν προσφερθεί το PPP. Έπειτα το PPP πιστοποιεί τον χρήστη με PAP, CHAP ή MSCHAPv2 και παραδίδει το όνομα σε έναν χώρο λογαριασμών που μπορεί να είναι τοπικός, στο chap-secrets ή στο RADIUS. Ένας λάθος κωδικός πρόσβασης σε εκείνο το σημείο σάς αφήνει ακόμη με σήραγγα που λειτουργεί και συνεδρία που απέτυχε.

Διαβάστε το σημείο διακοπής πριν επεξεργαστείτε μια διαμόρφωση

Ξεκινήστε με το ipsec --version για να ξέρετε αν η έξοδος κατάστασης ανήκει στο strongSwan ή στο Libreswan. Έπειτα διαβάστε το αρχείο καταγραφής του διακομιστή, όχι τον διάλογο του πελάτη, γιατί ο διακομιστής καταγράφει ποιο στάδιο αρνήθηκε.

Συνήθως μία γραμμή κρίνει το δελτίο: ένα παράπονο για IKE ή για τις προτάσεις είναι το πρώτο στάδιο, ένα μήνυμα της σύνδεσης ελέγχου είναι το δεύτερο, και μια απόρριψη μεθόδου PPP ή λογαριασμού είναι το τρίτο. Αντιγράψτε αυτή τη γραμμή στο δελτίο μαζί με τη χρονική σήμανση. Το μάντεμα από την πλευρά του πελάτη σπαταλά το μοναδικό στοιχείο που ήδη έχετε.

Κρατήστε το κλειδί και τους κωδικούς πρόσβασης έξω από αυτή την επικόλληση· το όνομα του σταδίου κατευθύνει την εργασία, και ένα κλειδί που διέρρευσε ανοίγει ξανά το δελτίο με χειρότερες συνέπειες.

Πρώτο βήμα: έχει το IPsec συσχέτιση;

Εκτελέστε το ipsec statusall στο strongSwan ή το ipsec whack --status στο Libreswan και αναζητήστε μια εδραιωμένη θυγατρική συσχέτιση με μετρητές διάφορους του μηδενός. Το ip xfrm state δείχνει την εικόνα του πυρήνα και στα δύο. Ένα εγκατεστημένο ζεύγος SA με μετρητές που ανεβαίνουν σημαίνει ότι το πρώτο στάδιο έχει ολοκληρωθεί και μπορείτε να προχωρήσετε.

Η παντελής έλλειψη συσχέτισης δείχνει τη διεύθυνση του ομοτίμου, το σύνολο προτάσεων ή το προκοινόμενο κλειδί, και περιστασιακά μια συσκευή που ξαναγράφει το UDP 500 ενώ ρίχνει το UDP 4500. Μια συσχέτιση που εδραιώνεται και μετά εξαφανίζεται μετά από λίγα δευτερόλεπτα είναι συνήθως ασυμφωνία διάρκειας ζωής μεταξύ των δύο άκρων και όχι πρόβλημα διαπιστευτηρίων. Ελέγξτε αν και οι δύο πλευρές απαριθμούν τις ίδιες προτάσεις κρυπτογράφησης και κατακερματισμού πριν ξαναγράψετε οτιδήποτε. Αν όχι, κανένα κλειδί δεν θα λειτουργήσει ποτέ.

Σταματήστε όσο λείπει η συσχέτιση. Η επεξεργασία επιλογών PPP εκείνη τη στιγμή δεν αλλάζει τίποτα και κρύβει την πραγματική βλάβη από τον επόμενο άνθρωπο.

Δεύτερο βήμα: πιστοποιήθηκε η σύνδεση ελέγχου L2TP;

Μόλις ανέβει το IPsec, παρακολουθήστε τον δαίμονα L2TP για μια σύνδεση ελέγχου που φτάνει σε εδραιωμένη κατάσταση, αφού το PPP δεν μπορεί να ξεκινήσει πριν από αυτό. Μια άρνηση στη σύνδεση ελέγχου σημαίνει ότι το μυστικό της σήραγγας διαφέρει μεταξύ των άκρων, ή ότι το ένα άκρο απαιτεί μυστικό που το άλλο δεν στέλνει ποτέ. Οι πελάτες συχνά εκθέτουν ένα μόνο πεδίο με ετικέτα κοινό μυστικό, και συνήθως ανήκει στο IPsec και όχι στο L2TP. Η συμπλήρωσή του δεν ρυθμίζει το μυστικό της σήραγγας, και η διαγραφή του δεν το απενεργοποιεί.

Αν καμία πλευρά δεν έχει ρυθμισμένο μυστικό σήραγγας, παραλείψτε αυτό το στάδιο και αντιμετωπίστε την αποτυχία της σύνδεσης ελέγχου ως ζήτημα προσβασιμότητας. Επιβεβαιώστε ότι το UDP 1701 φτάνει στον δαίμονα και ότι τα δύο άκρα συμφωνούν στην ίδια ενθυλάκωση. Ένας κανόνας τείχους προστασίας γραμμένος για μία από αυτές τις δύο συνθήκες είναι συχνή αιτία σύνδεσης που ανοίγει μισή.

Μόνο μια συνεδρία που αρχίζει να διαπραγματεύεται PPP έχει όντως περάσει το στάδιο της σήραγγας.

Τρίτο βήμα: απορρίπτει το PPP τον λογαριασμό;

Μια αποτυχία PPP φαίνεται διαφορετική από έξω: η σήραγγα είναι εδραιωμένη, η συνεδρία ξεκινά, και ο δαίμονας καταγράφει αποτυχία μεθόδου ελέγχου ταυτότητας ή απόρριψη λογαριασμού. Διαβάστε τη μέθοδο που αναφέρεται σε εκείνο το μήνυμα. Το PAP και το CHAP αποτυγχάνουν για διαφορετικούς λόγους, και ένας διακομιστής που απορρίπτει το ένα θα απορρίψει έναν πελάτη που προσφέρει μόνο εκείνο.

Σε διακομιστή Linux, εξετάστε το αρχείο επιλογών που ο δαίμονας περνά στο PPP, συνήθως το /etc/ppp/options.xl2tpd, και επιβεβαιώστε ποιες μέθοδοι γίνονται δεκτές και πού επιλύονται οι λογαριασμοί. Ένα όνομα που υπάρχει στο RADIUS αλλά όχι στο τοπικό αρχείο μυστικών αποτυγχάνει καθαρά και μοιάζει με κακό κωδικό πρόσβασης. Έπειτα ελέγξτε ότι ο πελάτης προσφέρει μέθοδο που δέχεται ο διακομιστής, και όχι ισχυρότερη που ο διακομιστής αρνείται να διαπραγματευτεί. Η αλλαγή του προκοινόμενου κλειδιού για να διορθωθεί αυτό το στάδιο χάνει ένα απόγευμα και δεν αλλάζει τίποτα.

Όταν η συνεδρία επιτέλους ανέβει, η εκχώρηση διευθύνσεων, το DNS και οι διαδρομές παραμένουν ανεξέλεγκτα, και καθένα αποτυγχάνει σιωπηλά με τον δικό του τρόπο. Κρατήστε τα τρία επίπεδα χωριστά στις σημειώσεις σας: ένα σωστό κλειδί με λάθος λογαριασμό αποτυγχάνει πάντα, και η διόρθωση ενός επιπέδου δεν διορθώνει ποτέ ένα άλλο.