Unu eraro, tri sekretoj: kiu VPN-akreditaĵo malsukcesis?
La kliento montras unu eraron por ĉiu etapo. Legu la asociiĝon, la uzantinterŝanĝon kaj la metodon antaŭ ol restarigi pasvorton, kiun neniu kontrolis.
«Aŭtentigo malsukcesis» povas montri al servila atestilo, al antaŭdividita ŝlosilo de la maŝino aŭ al uzanta pasvorto. Kiu el ili estas celata dependas de la protokolo, ĉar ĉiu protokolo difinas malsaman aron da sekretoj. Restarigu la malĝustan kaj la eraro restas senŝanĝa. La eliro estas konstati kiom da pruvoj la protokolo postulas antaŭ ol redakti ion ajn.
Du pruvoj montrantaj en kontraŭaj direktoj
Tunelo devas respondi ĉu ĝi atingis la ĝustan enirejon, kaj aparte kiu estas la uzanto. La pruvo de la enirejo estas je maŝinnivelo: servila atestilo, antaŭdividita ŝlosilo aŭ statika publika ŝlosilo. La pruvo de la uzanto estas je personnivelo: pasvorto, ĵetono, klienta atestilo aŭ tute nenio. Tiuj estas kontraŭaj direktoj de fido kaj ili konsumas malsaman materialon.
IKEv2 plenumas la pruvon de la enirejo ene de IKE_AUTH kaj, kiam EAP estas uzata, poste plenumas la pruvon de la uzanto en aparta interŝanĝo. La specifikaĵo de IKEv2 tenas ilin kiel apartajn sekciojn, kio estas forta signo pri kie serĉi kiam unu mesaĝo kovras ambaŭ raŭndojn.
Legu la etapon, ne la mesaĝon
La kliento montras unu erarĉenon sendepende de tio, kiu etapo malsukcesis, do la ĉeno mem portas preskaŭ neniun informon. Informon portas la stato, kiun vi povas inspekti ĉe ĉiu etapo: ĉu asocio ekzistas, ĉu uzantinterŝanĝo komenciĝis kaj ĉu la kliento proponis la metodon, kiun la enirejo volis. La tabelo ordigas la etapojn tiel anstataŭ laŭ protokolonomo.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Nur la dua vico temas pri akreditaĵo, kiun uzanto povas retajpi. La aliaj tri estas konfiguraj faktoj, kaj ĝuste tiu miskongruo estas kial tiom multaj el ĉi tiuj raportoj finiĝas per pasvorta restarigo, kiu ŝanĝas nenion. Legu la vicon, kiu kongruas kun via pruvo, antaŭ ol tuŝi kampon.
Protokolo kun du sekretoj montras siajn kartojn
L2TP super IPsec faras la nombron videbla, ĉar la du kontroloj okazas en malsamaj procezoj. La IPsec-tavolo devas unue leviĝi kun antaŭdividita ŝlosilo aŭ atestilo, kaj nur poste PPP ene de ĝi provas uzantan ensaluton.
Kiam la maŝina sekreto malĝustas, nenia asocio formiĝas kaj la uzantaj akreditaĵoj neniam estas provataj. Kiam la maŝina sekreto ĝustas kaj la uzanta sekreto malĝustas, la asocio ekzistas kaj PPP malakceptas la ensaluton post kiam la tunelo jam staras. Ambaŭ produktas la saman mesaĝon sur la ekrano el du malsamaj eventoj.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerMalplena asocia listo tuj ekskludas la uzantan tavolon, do kontrolu ĝin antaŭ la pasvorto. Starigita asocio kun ripetaj PPP-malsukcesoj montras la alian direkton, al la uzanta tavolo aŭ al la aŭtentiga protokolo ene de ĝi. Neniun el la du konkludoj eblas ricevi el la erarteksto de la kliento.
De kio fakte dependas ensaluto nur per pasvorto
Aliro nur per pasvorto estas ordinara por L2TP, PPTP, SSTP kaj IKEv2 kun EAP. WireGuard tute ne havas tian opcion, ĉar ĝiaj partneroj estas ŝlosiloj, ne uzantoj. Por OpenVPN la respondo venas el la postulo de la servilo pri klienta atestilo: enirejo, kiu postulas kaj atestilon kaj pasvorton, daŭre malakceptos klienton nur per pasvorto, kion ajn oni tajpas en la kampon.
Kiun komponenton vi bezonas sekvas el la sama respondo. Pasvorta ensaluto sub IKEv2 postulas klienton, kiu parolas EAP, dum atestila ensaluto bezonas la privatan ŝlosilon de la kliento kaj la ĉenon de la servilo. Instalu la malĝustan kaj la malsukceso legiĝas kiel akreditaĵa eraro, kvankam mankas la aŭtentiga metodo mem.
Ŝanĝu unu aferon, poste retestu
Unue konstatu tri faktojn: kiu protokolo funkcias, kiom da sekretoj ĝi difinas kaj kiuj el ili apartenas al la maŝino kaj ne al la uzanto. Maŝinoj malsukcesas ĉe la unua etapo kaj homoj ĉe la dua, kaj konfuzi la du estas la tuta problemo.
Poste ŝanĝu precize unu aferon kaj retestu el la sama kliento. Tiu disciplino transformas konfuzan malsukceson en riparon, kiun vi povas priskribi al la sekva persono, kaj tio estas pli utila ol funkcianta konekto, kiun neniu povas klarigi.