IKEv2 vahetus töötab, seejärel autentimine ebaõnnestub: kus

Klient, kes saab IKEv2 vastuse, on tõestanud, et lüüs on kättesaadav, et mõlemad pooled saavad pakkumises kokku leppida ja et esmane võtmevahetus lõppes. Ta ei ole tõestanud, et keegi on autenditud. Järgmine vahetus kannab identiteete, sertifikaate või EAP-i ja tavaliselt just seal ühendus peatub. Lugeda, milline neist kontrollidest ebaõnnestus, on kogu diagnoos, ja veateade üksi ütleb seda harva.

Kontroll 1: loe etappi, mitte teatist

Tagasilükkamine võib tulla kolmest kohast: klient lükkab tagasi serveri identiteedi, lüüs lükkab tagasi kliendi tõestuse ja väline autentimisteenus lükkab tagasi konto.

Igaüks tekitab erineva logirea erinevas masinas ja igaühel on erinev parandus. Serveri sertifikaadi tagasilükkamine kliendi poolel on usalduse või nime probleem kliendis; kliendi sertifikaadi tagasilükkamine lüüsi poolel on usalduse probleem lüüsis; EAP tõrge on konto või taustsüsteemi probleem. Teade, mida näete, on tavaliselt kliendi kokkuvõte ühest neist, seepärast on lüüsi logi sama oluline kui kliendi oma.

Kontroll 2: millist identiteeti kontrolliti

Klient võib serveri sertifikaadi või oodatava identiteedi tagasi lükata enne, kui ühtegi kasutaja mandaati pakutakse, ja töötav serveri aadress ei asenda seda kontrolli. Identifikaator, mida klient ootab, peab ühtima sellega, mida lüüs esitab, mis on konfiguratsiooni, mitte võrgu küsimus.

strongSwan terminites on see rightid kliendis ja teisel pool lüüsi enda identiteet, ning lahknevus ebaõnnestub enne, kui EAP-i üldse arutatakse.

Lüüs võib eraldi tagasi lükata kliendi sertifikaadi, selle võtmetõestuse või konto autentimise, ja need kolm ei ole vahetatavad. Kasutaja parooli lähtestamine ei uuenda seadme sertifikaati ja seadme sertifikaadi uuesti paigaldamine ei paranda vale serveri identiteeti. Sertifikaaditõrgete korral kontrollige kõigepealt kella, seejärel usaldusahelat, seejärel oodatavat identifikaatorit; klient, mille kell on mõne minuti võrra maas, ebaõnnestub kehtivuskontrollis, mis näeb välja nagu usaldustõrge. swanctl --list-certs mõlemas otsas näitab, mis kummalgi poolel tegelikult on.

Kontroll 3: kui EAP on mängus

Klient ja server peavad kokku leppima toetatud meetodis ja taustsüsteem peab esitatud identiteedi vastu võtma.

Kasutajanimi võib vajada domeeni sufiksti või konkreetset kontovormingut, mida juurutus nõuab, ja vorming on dokumenteeritud, mitte aimatav. Operaatori dokumenteeritud väljade esitamine on kiirem kui variantide proovimine ja hoiab ära teise probleemi: korduvad katsed võivad käivitada konto lukustamise, mis seejärel peidab algse etapi uue tõrke taha. Kui meetod on EAP-MSCHAPv2 kataloogi vastu, võib tõrge kuuluda kataloogile, mitte VPN-ile.

Ärge testige identiteediprobleeme identiteedikontrollide väljalülitamisega. See muudab diagnoositava tõrke diagnoosimatuks ja jätab ühenduse nõrgemaks kui enne.

Kontroll 4: mis juhtub pärast edukat sisselogimist

Kui IKE_AUTH on lõppenud, otsustab CHILD_SA läbirääkimine, millised liiklusvalijad paigaldatakse, ja just seal võib ühendus õnnestuda ja siiski mitte midagi edasi anda.

Värskelt töötav sisselogimine paljastab sageli valija või marsruudi probleemi, mis oli varem autentimistõrke taha peidetud. Kui tunnel tõuseb ja rakendus ei jõua ikkagi sihtkohta, vaadake läbiräägitud valijaid ja marsruute, mitte uuesti identiteeti. Identiteediseadete muutmine selles punktis tabab vale etappi ja rikub tavaliselt töötava sisselogimise. Kinnitage seda käsuga swanctl --list-sas, mis näitab lapsi ja nende valijaid IKE SA-st eraldi.

Kontroll 5: mida toele anda

Puhastatud ajatelg ja täpne tagasilükkamine on väärtuslikumad kui täielik diagnostikaeksport, ja eksport võib sisaldada privaatvõtmeid või mandaate, mida te ei peaks jagama.

Kirjutage üles aeg koos ajavööndiga, kliendi ja lüüsi versioonid, meetod, pakutud identiteedistring, mitte parool, ja täpne etapp, mis selle tagasi lükkas. strongSwan IKEv2 konfiguratsiooni dokumentatsioon kirjeldab identiteedi- ja EAP-seadeid, mis neid tulemusi otsustavad, ja see on viide, mida tuleb lugeda enne välja muutmist. Seejärel muutke ühte asja ja testige uut ühendust, sest vahemällu salvestatud sessioon räägib teile vanast konfiguratsioonist.