Komuna sekreto aŭ uzanta ensaluto: kiu kampo de L2TP/IPsec fiaskis?
Antaŭe dividita ŝlosilo pruvas la samtavolan, dum la PPP-uzantnomo kaj pasvorto pruvas la personon. La erarkodo diras, kiu el la du tavoloj rompiĝis.
Unu oficejo povas doni la saman IPsec-sekreton al ĉiu tekkomputilo, dum ĉiu persono tamen ensalutas per propra konto, kaj tial «la ŝlosilo estas ĝusta» kaj «la pasvorto estas ĝusta» povas ambaŭ esti veraj kaj la ensaluto tamen fiaski. L2TP kaj IPsec aŭtentikigas malsamajn partiojn en malsamaj stadioj. Komparo de la du tavoloj, kaj la erarkodo, kiu apartigas ilin, fermas plej multajn el ĉi tiuj biletoj pli rapide ol ankoraŭfoja interŝanĝo de ambaŭ valoroj. La stadioj ne estas interŝanĝeblaj, kaj la mesaĝo antaŭ vi jam diras, kiu estas en ludo.
Du tavoloj, du malsamaj identecoj
Unue okazas la IPsec-a aŭtentikigo de la samtavolano. La kliento kaj la enirejo pruvas unu al la alia, kiuj ili estas, per antaŭe dividita ŝlosilo aŭ atestilo, antaŭ ol iu ajn tunela ŝarĝo estas protektita. La PPP-interŝanĝo ene de la L2TP-kunsido okazas poste, kaj ĝuste tie via uzantnomo kaj pasvorto estas kontrolataj kontraŭ la konta stokejo de la servilo.
La stadioj estas sendependaj, do valida uzantkonto ne savas malĝustan IPsec-ŝlosilon, kaj ĝusta ŝlosilo ne savas eksvalidiĝintan pasvorton. Skribu la du aparte en la bileton kaj la diagnozo kutime falas el la unua protokollinio, kiu nomas stadion.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
La komuna sekreto pruvas la samtavolan
Antaŭe dividita ŝlosilo estas grupa legitimilo, kiun posedas la enirejo kaj ĉiu kliento, kiu konektiĝas al ĝi. Ĝi establas, ke la samtavolano konas la ŝlosilon, kaj el ĝi IKE derivas la ŝlosilojn, kiuj protektas la konekton. Nenio en tiu interŝanĝo identigas la homon ĉe la klavaro. Ĝuste tial dua, uzantnivela ensaluto ekzistas en la sama tunelo.
Tiu dezajno havas praktikan sekvon por revokado. Perdi unu tekkomputilon signifas rotacii la sekreton por ĉiu aparato, kiu uzas ĝin, krom se la enkonduko transiras al atestiloj, kie unu aparato povas esti forigita sen tuŝi la ceterajn. La interŝanĝo estas administra peno kontraŭ difekta radiuso.
Ŝlosilo tajpita en profilon ankaŭ estas la plej facile likigebla legitimilo per ekrankopioj kaj babilado. Traktu ĝin kiel komunan infrastrukturan materialon kaj ne kiel personan pasvorton, ĉar ĝuste tio ĝi estas.
La ensaluto apartenas al PPP
Ene de la L2TP-kunsido, PPP intertraktas aŭtentikigon kaj petas la servilon kontroli la paron da valoroj, kiujn vi tajpis. En Windows tio estas la sama uzantnomo kaj pasvorto, kiujn la profilo petas, kaj en enkursigilo ĝi estas tio, al kio la PPP-profilo referencas. Ĝi estas kontrolata kontraŭ la konta stokejo, ne kontraŭ la ŝlosilo. Du homoj povas dividi tekkomputilon kaj ŝlosilon kaj tamen esti distingitaj en ĉi tiu stadio.
Ĉar ĝi estas uzanta aŭtentikigo, validas ĉiuj kutimaj kontaj politikoj: eksvalidiĝinta pasvorto, ŝlosita konto, alvoka permeso aŭ nomo, kiu devas porti domajnon. La eraro 691 raportas tiun kombinaĵon kiel rifuzitan, do legu la kontadan rikordon de la servilo antaŭ ol retajpi ion ajn.
Lasu la eraron elekti la kampon
La eraro 789 nomas la sekurecan tavolon kaj montras al la IPsec-stadio. Konfirmu, ke la antaŭe dividita ŝlosilo ambaŭflanke egale kongruas, ke la samtavolana identeco, kiun la enirejo atendas, kongruas kun tio, kion la kliento sendas, kaj ke la kliento estas agordita por L2TP/IPsec kaj ne por alia tipo.
La eraro 691 nomas legitimilojn kaj montras al PPP. Kontrolu la kontan staton kaj la ĝustan nomformon antaŭ ol ŝanĝi la sekreton, ĉar ŝanĝi ambaŭ samtempe detruas la pruvon, kiun vi legis.
Kiam la tunelo leviĝas kaj trafiko tamen haltas, tute ĉesu redakti aŭtentikigajn kampojn. Rigardu la adresaron, la itineron reen al la klienta subreto kaj la MTU: komparo de la du tavoloj helpas nur dum la paneo ankoraŭ estas ene de ili.