L2TP/IPsec PSK lükati tagasi: käi dialoog ja seejärel failid läbi

Kleebid administraatori sõnumist pärit eeljagatud võtme NetworkManageri dialoogi, märgistad selle näitamise kasti ja see klapib tähemärk tähemärgi haaval. Ühendus lõpeb siiski autentimisveaga enne, kui tunnel püsti tõuseb. Kui ma seda esimest korda nägin, arvasin, et võti on vale; see ei olnud. Veel kaks asja määravad, mida deemon tegelikult loeb: saladusfail, mille plugin selle ühenduse jaoks kirjutab, ja kas väärtus läbis dialoogi muutumatult.

Allpool olev käik jälgib võtit väljalt failini ja just see järjekord ütleb, kus see kadus. Tee seda masinal, mis ei tööta, mitte sellel, mis töötab, sest nende kahe masina erinevus on tavaliselt failide paigutus, mitte võti.

Alusta dialoogist, aga ära usalda välja

Ava ühenduse IPsec-vahekaart ja kirjuta võti uuesti, selle asemel et see kleepida. Vestlussõnumist, PDF-ist või paroolihaldurist kopeeritud võti võib saabuda lõpu reavahetusega, mida väli ei näita, ja nähtavad tähemärgid näevad ikka õiged välja.

Klõpsa parooli näitamise nupul ja vaata stringi lõppu, mitte keskkohta. Kui kursor jätab teksti alla tühja rea, kustuta see ja kirjuta viimane tähemärk uuesti. See üks parandus lahendab üllatava osa sellistest teadetest ja maksab vähem kui ükskõik millise logi lugemine.

Kui võti tuleb piletisüsteemist, mis murtakse pikki ridu, küsi seda kanali kaudu, mis ridu ei murra. Võrdle pikkusi administraatoriga, selle asemel et kahte stringi kõrvuti vaadata; murdekohas kaotatud tähemärk on proportsionaalses kirjas nähtamatu.

Jälgi võti /etc/ipsec.d sisse

Plugin ei anna PSK-d kunagi IPsec-deemonile käsureal argumendina. Selle asemel salvestab see väärtuse saladusfaili ja korraldab, et deemon selle faili kaasaks, lisades /etc/ipsec.secrets-sse include-rea, kui seda pole. See, mida dialoog hoiab, on loodud faili sisend, mitte kasutatav väärtus.

Loetle, mis olemas on, enne kui midagi muudad:

ipsec --version
sudo ls -l /etc/ipsec.d/*.secrets /etc/ipsec.d/ipsec.nm-l2tp.secrets 2>/dev/null
sudo grep -n "include" /etc/ipsec.secrets

Plugina vanemad väljaanded kirjutasid ühe faili ühenduse kohta, nimetatud ühenduse UUID järgi, näiteks /etc/ipsec.d/nm-l2tp-ipsec-<uuid>.secrets. Profiili kustutamine rakenduses ei kustuta seda faili usaldusväärselt. Kui eelmise serveri vana fail on veel kettal ja ikka kaasatud, võib deemon valida saladuse, mis kuulub profiilile, mida sa enam ei kasuta, ja ühendus ebaõnnestub, kuigi nähtav väli on õige.

Mõista, mida 1.2.12 muudatus uuendustega tegi

Plugina versioon 1.2.12 asendas ühendusepõhised saladusfailid ühe ühise failiga, /etc/ipsec.d/ipsec.nm-l2tp.secrets. Uuendus ei korista vanemaid UUID-põhiseid faile ja olemasolev rida include /etc/ipsec.d/*.secrets kaasab need endiselt. Versioon 1.2.16 muutis vaikimisi pakkumiste käsitlemist, mitte saladuste paigutust.

See ajalugu selgitab, miks kaks masinat, millel näib olevat sama profiil, käituvad erinevalt. Võti on identne; failide hulk, mille deemon kaasab, ei ole. Kui eemaldad orvuks jäänud faili, tõsta see kõrvale, mitte ära kustuta, kinnita ühendus ja kustuta alles siis, kui töötav olek on kirja pandud. Ümbernimetamine hoiab vana väärtuse taastatavana, kui rike osutub mujal asuvaks.

Eralda tähemärgid, mida salvestusvorming hoida ei suuda

strongSwani dokumentatsioon ühise saladuse stringi kohta ütleb, et väärtus ei tohi sisaldada reavahetust ega topeltjutumärgi tähemärki. Dokumendist kleebitud võti võib kanda kumbagi ilma igasuguse visuaalse erinevuseta tavalises dialoogis.

Alates 1.2.12 ei ole salvestatud väärtus lihttekst. Plugin kodeerib PSK-i base64-ks enne, kui see failini jõuab, ja väljaande märkmed esitavad seda kodeerimist põhjusena, miks topeltjutumärk on nüüd võtmes lubatud. Väljale trükitud jutumärk on seega esitatav; sama ei kehti iga juhtimistähemärgi kohta.

Pikkus on teine piirang. L2TP/IPsec tarkvara üleselt ei kehti üldine miinimum: mõned kliendid võtavad vastu alla kahekümne tähemärgi pikkusi võtmeid ja mõned lüüsid rakendavad miinimumi. Kui lühike võti lükatakse tagasi, kuulub reegel serveri poliitikale või selle kliendi valideerimisele ning millegi kohaliku tõstmine ei muuda seda.

Loe, milline autentimiskiht ebaõnnestus

Käivita esimesena ipsec --version, sest strongSwan ja Libreswan kasutavad erinevaid failinimesid ja süntaksit ning ühe jaoks mõeldud nõuanne võib teist kahjustada. Seejärel loe ebaõnnestumise etapp kliendi sõnumist või deemoni logist: kaebus eeljagatud võtme kohta on teine sündmus kui tagasilükatud kasutajanimi ja parool.

PSK autendib tunneli otspunktid. Kasutajanimi ja parool autendivad inimese L2TP sees ning PPP tegeleb nendega pärast seda, kui IPsec-assotsiatsioon on püsti. Õige PSK vale kontoga ebaõnnestub ikkagi ja konto vahetamine ei paranda võtit, mida deemon kunagi õigesti ei lugenud.

Kui pileti sulged, pane kirja kõik neli: plugina versioon, kasutatav saladusfail, kas võti trükiti uuesti või kleebiti, ja veas nimetatud kiht. Siis saab igaüks, kes selle käigu hiljem kordab, hüpata otse töötava ja ebaõnnestuva masina erinevuse juurde.