IKEv2 trukea funtzionatzen du, gero autentifikazioak huts egiten du: non

IKEv2 erantzuna jasotzen duen bezero batek frogatu du atebidea irisgarria dela, bi aldeek proposamen bat negozia dezaketela eta hasierako gako-trukea osatu dela. Ez du frogatu inor autentifikatuta dagoenik. Hurrengo trukeak identitateak, ziurtagiriak edo EAP eramaten ditu, eta normalean han gelditzen da konexioa. Egiaztapen horietako zeinek huts egin zuen irakurtzea da diagnostiko osoa, eta errore-mezuak berak gutxitan esaten du.

Egiaztapena 1: irakurri fasea, ez mezua

Ukatzea hiru lekutatik etor daiteke: bezeroak zerbitzariaren identitatea ukatzen du, atebideak bezeroaren froga ukatzen du, eta kanpoko autentifikazio-zerbitzu batek kontua ukatzen du.

Bakoitzak log-lerro desberdina sortzen du makina desberdin batean, eta bakoitzak konponbide desberdina du. Zerbitzariaren ziurtagiria bezeroaren aldean ukatzea konfiantza- edo izen-arazoa da bezeroan; bezeroaren ziurtagiria atebidearen aldean ukatzea konfiantza-arazoa da atebidean; EAP hutsegitea kontu- edo backend-arazoa da. Ikusten duzun mezua bezeroak horietako bati buruz egindako laburpena izaten da, eta horregatik atebidearen erregistroa bezeroarena bezain garrantzitsua da.

Egiaztapena 2: zein identitate egiaztatu zen

Bezeroak zerbitzariaren ziurtagiria edo espero duen identitatea ukatu dezake erabiltzaile-kredentzialik eskaini aurretik, eta funtzionatzen duen zerbitzari-helbidea ez da egiaztapen horren ordezkoa. Bezeroak espero duen identifikatzaileak atebideak aurkezten duenarekin bat egin behar du, eta hori konfigurazioaren kontua da, ez sarearena.

strongSwanen terminoetan hau da rightid bezeroan, eta beste aldean atebidearen beraren identitatea, eta desadostasuna EAP aipatu aurretik huts egiten du.

Atebideak, bereizita, bezeroaren ziurtagiria, haren gako-froga edo kontuaren autentifikazioa ukatu dezake, eta hirurak ez dira trukagarriak. Erabiltzailearen pasahitza berrezartzeak ez du gailu-ziurtagiri bat berritzen, eta gailu-ziurtagiri bat berriz instalatzeak ez du okerreko zerbitzari-identitaterik konpontzen. Ziurtagiri-hutsegiteetan, begiratu erlojua lehenik, gero konfiantza-katea, gero espero den identifikatzailea; minutuak desbideratuta dituen erlojua duen bezeroak konfiantza-hutsegitea dirudien baliozkotasun-egiaztapenean huts egiten du. swanctl --list-certs bi muturretan erakusten du zer duen benetan alde bakoitzak.

Egiaztapena 3: EAP jokoan badago

Bezeroak eta zerbitzariak onartutako metodo batean ados jarri behar dute, eta backend-ak emandako identitatea onartu behar du.

Erabiltzaile-izenak domeinu-atxikia edo inplementazioak eskatzen duen kontu-formatu zehatza behar izan dezake, eta formatua dokumentatuta dago, ez da asmatzekoa. Operadorearen dokumentatutako eremuak ematea aldaerak probatzea baino azkarragoa da, eta bigarren arazo bat saihesten du: saiakera errepikatuek kontua blokeatzea eragin dezakete, eta horrek jatorrizko fasea huts egite berri baten atzean ezkutatzen du. Metodoa direktorio baten aurkako EAP-MSCHAPv2 bada, hutsegitea direktorioarena izan daiteke, eta ez VPN-rena.

Ez probatu identitate-arazoak identitate-egiaztapenak desgaituta. Horrek diagnostikagarria den hutsegitea diagnostikaezin bihurtzen du eta konexioa lehenaino ahulago uzten du.

Egiaztapena 4: zer gertatzen den saio-hasiera onaren ondoren

IKE_AUTH osatu ondoren, CHILD_SA negoziazioak erabakitzen du zein trafiko-hautatzaile instalatuko diren, eta han gerta daiteke konexioak arrakasta izatea eta ezer pasatzen ez uztea.

Funtzionatzen hasi berri den saio-hasierak sarritan agerian uzten du autentifikazio-hutsegitearen atzean lehen ezkutatuta zegoen hautatzaile- edo ibilbide-arazo bat. Tunela altxatzen bada eta aplikazio batek oraindik bere helmugara iristen ez bada, begiratu negoziatutako hautatzaileak eta ibilbideak, ez identitatea berriro. Puntu horretan identitate-ezarpenak aldatzeak fase okerra hartzen du eta normalean funtzionatzen duen saio-hasiera apurtzen du. Egiaztatu honekin: swanctl --list-sas, eta horrek semeak eta haien hautatzaileak IKE SA-tik bereiz erakusten ditu.

Egiaztapena 5: zer eman laguntza-taldeari

Garbitutako denbora-lerroak eta ukapen zehatzak diagnostiko-esportazio osoak baino gehiago balio dute, eta esportazioak partekatu behar ez zenituzkeen gako pribatuak edo kredentzialak izan ditzake.

Idatzi ordua ordu-eremuarekin, bezeroaren eta atebidearen bertsioak, metodoa, eskainitako identitate-katea eta ez pasahitza, eta hura ukatu zuen fase zehatza. strongSwan IKEv2 konfigurazioaren dokumentazioa deskribatzen ditu emaitza horiek erabakitzen dituzten identitate- eta EAP-ezarpenak, eta eremu bat aldatu aurretik irakurri beharreko erreferentzia da. Gero aldatu gauza bat eta probatu berriro konexio berri bat, zeren cachean gordetako saioak konfigurazio zaharraz hitz egingo dizu.