Üks viga, kolm saladust: millised VPN-i sisselogimisandmed ebaõnnestusid?
Klient näitab iga etapi kohta ühte viga. Enne kellegi kontrollimata parooli lähtestamist lugege assotsiatsiooni, kasutajavahetust ja meetodit.
„Autentimine ebaõnnestus“ võib osutada serveri sertifikaadile, masina eeljagatud võtmele või kasutaja paroolile. Millist neist see tähendab, sõltub protokollist, sest iga protokoll määratleb erineva saladuste hulga. Lähtestage vale ja viga püsib muutumatuna. Väljapääs on teha kindlaks, kui palju tõendeid protokoll nõuab, enne kui midagi muudate.
Kaks tõendit vastassuundades
Tunnel peab vastama, kas ta jõudis õige lüüsini, ja eraldi, kes on kasutaja. Lüüsi tõend on masina tasandil: serveri sertifikaat, eeljagatud võti või staatiline avalik võti. Kasutaja tõend on isiku tasandil: parool, token, kliendi sertifikaat või üldse mitte midagi. Need on vastassuunalised usaldusnormid ja need tarbivad erinevat materjali.
IKEv2 teeb lüüsi tõendi IKE_AUTH-i sees ja kui kasutatakse EAP-i, käivitab seejärel kasutaja tõendi eraldi vahetuses. IKEv2 spetsifikatsioon hoiab neid eraldi peatükkidena, mis on tugev vihje, kust otsida, kui üks sõnum katab mõlemad ringid.
Lugege etappi, mitte sõnumit
Klient näitab üht veariba olenemata sellest, milline etapp ebaõnnestus, seega ei kanna riba ise peaaegu mingit teavet. Teavet kannab olek, mida saate igas etapis uurida: kas assotsiatsioon on olemas, kas kasutajavahetus algas ja kas klient pakkus meetodit, mida lüüs tahtis. Tabel järjestab etapid nii, mitte protokolli nime järgi.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Ainult teine rida puudutab volitust, mille kasutaja saab uuesti sisestada. Ülejäänud kolm on konfiguratsiooni faktid ja just see lahknevus on põhjus, miks nii paljud sellised aruanded lõpevad parooli lähtestamisega, mis ei muuda midagi. Lugege rida, mis vastab teie tõendile, enne kui välja puudutate.
Kahe saladusega protokoll näitab oma kaarte
L2TP üle IPsec-i teeb arvu nähtavaks, sest kaks kontrolli toimuvad erinevates protsessides. IPsec-kiht peab esimesena tõusma eeljagatud võtme või sertifikaadiga ja alles siis proovib PPP selle sees kasutaja sisselogimist.
Kui masina saladus on vale, assotsiatsioon ei teki ja kasutaja volitust ei proovita kunagi. Kui masina saladus on õige ja kasutaja saladus vale, on assotsiatsioon olemas ja PPP lükkab sisselogimise tagasi pärast seda, kui tunnel on juba püsti. Mõlemad annavad ekraanil sama sõnumi kahest erinevast sündmusest.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerTühi assotsiatsioonide loend välistab kasutajakihi kohe, seega kontrollige seda enne parooli. Püstitatud assotsiatsioon korduvate PPP-tõrgetega osutab vastassuunas, kasutajakihile või selle sees olevale autentimisprotokollile. Kumbki järeldus ei ole kliendi veatekstist kättesaadav.
Millest ainult parooliga sisselogimine tegelikult sõltub
Ainult parooliga juurdepääs on tavaline L2TP, PPTP, SSTP ja EAP-iga IKEv2 puhul. WireGuardil pole sellist valikut üldse, sest selle partnerid on võtmed, mitte kasutajad. OpenVPN-i puhul tuleb vastus serveri kliendisertifikaadi nõudest: lüüs, mis nõuab nii sertifikaati kui parooli, jätkab ainult parooliga kliendi tagasilükkamist, ükskõik mida väljale trükitakse.
Millist komponenti vajate, tuleneb samast vastusest. Parooliga sisselogimine IKEv2 all nõuab klienti, mis räägib EAP-i, samas kui sertifikaadiga sisselogimine vajab kliendi privaatvõtit ja serveri ahelat. Paigaldage vale ja tõrge loeb nagu volituse viga, kuigi puudu on autentimismeetod ise.
Muutke ühte asja ja testige uuesti
Tehke esmalt kindlaks kolm fakti: milline protokoll töötab, kui palju saladusi see määratleb ja millised neist kuuluvad masinale, mitte kasutajale. Masinad ebaõnnestuvad esimeses etapis ja inimesed teises, ning nende kahe segiajamine on kogu see probleem.
Seejärel muutke täpselt ühte asja ja testige uuesti samast kliendist. See distsipliin muudab segase tõrke paranduseks, mida saate järgmisele inimesele kirjeldada, ja see on kasulikum kui töötav ühendus, mida keegi seletada ei oska.