Ühine saladus või kasutaja sisselogimine: milline L2TP/IPsec väli ebaõnnestus?
Eelnevalt jagatud võti tõestab vastaspoolt, PPP kasutajanimi ja parool aga isikut. Veakood ütleb, kumb kahest kihist katki läks.
Üks kontor võib anda kõigile sülearvutitele sama IPsec-saladuse, samal ajal kui iga inimene logib siiski sisse oma kontoga, ja seetõttu võivad «võti on õige» ja «parool on õige» mõlemad tõesed olla ning sisselogimine ikkagi ebaõnnestuda. L2TP ja IPsec autendivad erinevaid pooli erinevates etappides. Kahe kihi võrdlus ja neid eraldav veakood lõpetavad enamiku sellistest piletitest kiiremini kui mõlema väärtuse järjekordne vahetamine. Etapid ei ole vahetatavad ja teie ees olev teade ütleb juba, milline neist mängus on.
Kaks kihti, kaks erinevat identiteeti
Kõigepealt käivitub IPsec-i vastaspoole autentimine. Klient ja lüüs tõestavad teineteisele, kes nad on, eelnevalt jagatud võtme või sertifikaadiga, enne kui ükski tunnelikoormus kaitstakse. PPP-vahetus L2TP-seansi sees toimub pärast seda ja just seal kontrollitakse teie kasutajanime ja parooli serveri kontohoidla vastu.
Etapid on sõltumatud, seega kehtiv kasutajakonto ei päästa vale IPsec-võtit, ja õige võti ei päästa aegunud parooli. Kirjutage mõlemad piletile eraldi ja diagnoos kukub tavaliselt välja esimesest logireast, mis etappi nimetab.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Ühine saladus tõestab vastaspoolt
Eelnevalt jagatud võti on grupimandaat, mida hoiavad lüüs ja iga klient, kes sellega ühendub. See kinnitab, et vastaspool teab võtit, ja sellest tuletab IKE võtmed, mis ühendust kaitsevad. Sellest vahetusest ei identifitseeri klaviatuuri taga olevat inimest miski. Just seetõttu on samas tunnelis teine, kasutajatasandi sisselogimine.
Sellel disainil on tühistamise jaoks praktiline tagajärg. Ühe sülearvuti kaotamine tähendab saladuse roteerimist iga seadme jaoks, mis seda kasutab, kui juurutus ei liigu sertifikaatidele, kus ühe seadme saab eemaldada ülejäänuid puutumata. Vahetus on halduskoormus kahjude ulatuse vastu.
Profiili trükitud võti on ka kõige kergemini ekraanipiltide ja vestluste kaudu lekkiv mandaat. Käsitlege seda ühise taristu materjalina, mitte isikliku paroolina, sest täpselt seda see on.
Sisselogimine kuulub PPP-le
L2TP-seansi sees peab PPP autentimist läbi ja palub serveril kontrollida teie sisestatud väärtuste paari. Windowsis on need samad kasutajanimi ja parool, mida profiil küsib, ja ruuteris see, millele PPP-profiil viitab. Seda kontrollitakse kontohoidla vastu, mitte võtme vastu. Kaks inimest võivad jagada sülearvutit ja võtit ning neid eristatakse selles etapis ikkagi.
Kuna see on kasutaja autentimine, kehtivad kõik tavalised kontopoliitikad: aegunud parool, lukustatud konto, sissehelistamisluba või nimi, mis peab kandma domeeni. Viga 691 teatab selle kombinatsiooni tagasilükatuna, seega lugege serveri arvestuskirjet enne, kui midagi uuesti trükite.
Las veakood valib välja
Viga 789 nimetab turbekihi ja osutab IPsec-i etapile. Kinnitage, et eelnevalt jagatud võti mõlemal pool täpselt kattub, et lüüsi oodatav vastaspoole identiteet vastab sellele, mida klient saadab, ja et klient on seadistatud L2TP/IPsec-i jaoks, mitte mõne muu tüübi jaoks.
Viga 691 nimetab mandaate ja osutab PPP-le. Kontrollige konto olekut ja täpset nimevormingut enne saladuse muutmist, sest mõlema korraga muutmine hävitab tõendi, mida te lugesite.
Kui tunnel tõuseb ja liiklus ikka seiskub, lõpetage autentimisväljade muutmine täielikult. Vaadake aadressibasseini, tagasiteed kliendi alamvõrku ja MTU-d: kahe kihi võrdlus aitab ainult seni, kuni rike on veel nende sees.