L2TP/IPsec PSK baztertua: joan elkarrizketatik fitxategietara

Administratzailearen mezutik datorren aurrez partekatutako gakoa NetworkManager-en elkarrizketan itsasten duzu, erakutsi laukia markatzen duzu, eta karakterez karaktere bat dator. Konexioak huts egiten du oraindik autentifikazioan tunela altxatu aurretik. Lehen aldiz ikusi nuenean gakoa oker zegoela pentsatu nuen; ez zegoen. Beste bi gauzak erabakitzen dute daemonak zer irakurtzen duen: pluginak konexio horretarako idazten duen sekretu fitxategiak eta balioak elkarrizketan zehar aldaketarik gabe iraun duen.

Beheko ibilbideak gakoa eremutik fitxategira jarraitzen du, eta ordena horrek esaten dizu non galdu zen. Huts egiten duen makina egin ezazu, ez lanean ari dena, bi makinen arteko aldea fitxategien antolaketa izaten baita, ez gakoa.

Hasi elkarrizketan, baina ez fidatu eremuan

Ireki konexioaren IPsec fitxa eta idatzi gakoa berriro, itsatsi beharrean. Txat mezu batetik, PDF batetik edo pasahitz kudeatzaile batetik kopiatutako gakoa amaieran eremuak erakusten ez duen lerro-jauzi batekin irits daiteke, eta ikusten diren karaktereek zuzenak dirudite oraindik.

Egin klik pasahitza erakusteko kontrolan eta begiratu katearen amaieran, ez erdian. Kurtsoreak testuaren azpian lerro huts bat uzten badu, ezabatu eta idatzi berriro azken karakterea. Zuzenketa bakar horrek horrelako txostenen zati harrigarri bat konpontzen du, eta edozein erregistro irakurtzea baino gutxiago kostatzen da.

Gakoa lerro luzeak tolesten dituen tiket sistema batetik badator, tolesten ez duen kanal batetik eskatu. Alderatu luzerak administratzailearekin, bi kate alboan begiratu beharrean; tolesdura puntu batean galdutako karakterea ikusezina da letra-tipo proportzionalean.

Jarraitu gakoa /etc/ipsec.d barrura

Pluginak ez dio inoiz PSK-a IPsec daemonari komando-lerroko argumentu gisa ematen. Horren ordez balioa sekretu fitxategi batean gordetzen du eta daemonak fitxategi hori hartuko duela antolatzen du, /etc/ipsec.secrets-n include lerro bat gehituta bat ez badago. Elkarrizketak gordetzen duena sortutako fitxategi horren sarrera da, ez erabiltzen ari den balioa.

Zerrendatu zer dagoen ezer aldatu aurretik:

ipsec --version
sudo ls -l /etc/ipsec.d/*.secrets /etc/ipsec.d/ipsec.nm-l2tp.secrets 2>/dev/null
sudo grep -n "include" /etc/ipsec.secrets

Pluginaren bertsio zaharrek konexio bakoitzeko fitxategi bat idazten zuten, konexioaren UUIDarekin izendatua, adibidez /etc/ipsec.d/nm-l2tp-ipsec-<uuid>.secrets. Aplikazioan profila ezabatzeak ez du fitxategi hori modu fidagarrian ezabatzen. Aurreko zerbitzari bateko fitxategi zahar bat oraindik diskoan eta oraindik sartuta badago, daemonak jada erabiltzen ez duzun profil bati dagokion sekretua aukeratu dezake, eta konexioak huts egiten du eremu ikusgai zuzena izanik.

Ulertu zer egin zuen 1.2.12 aldaketak eguneratzeekin

Pluginaren 1.2.12 bertsioak konexio bakoitzeko sekretu fitxategiak partekatutako fitxategi bakar batekin ordezkatu zituen, /etc/ipsec.d/ipsec.nm-l2tp.secrets. Eguneratzeak ez ditu UUID bidezko fitxategi zaharrak garbitzen, eta lehendik dagoen include /etc/ipsec.d/*.secrets lerroak oraindik sartzen ditu. 1.2.16 bertsioak lehenetsitako proposamenen tratamendua aldatu zuen, ez sekretuen antolaketa.

Historia horrek azaltzen du zergatik jokatzen duten desberdin itxuraz profil bera duten bi makinak. Gakoa berbera da; daemonak sartzen dituen fitxategi multzoa ez. Fitxategi umezurtza kentzean, mugitu albo batera ezabatu beharrean, egiaztatu konexioa, eta gero ezabatu egoera eragilea erregistratuta dagoenean. Izena aldatzeak balio zaharra berreskuragarri uzten du, hutsa beste nonbait dagoela suertatzen bada.

Bereizi biltegiratze formatuak eduki ezin dituen karaktereak

strongSwan dokumentazioak sekretu partekatuaren kateari buruz dio balioak ezin duela lerro-jauzirik edo komatxo bikoitzik eduki. Dokumentu batetik itsatsitako gako batek bietako edozein eraman dezake elkarrizketa arrunt batean inolako alde bisualik gabe.

1.2.12tik gordetako balioa ez da testu soila. Pluginak PSK-a base64-n kodetzen du fitxategira iritsi aurretik, eta bertsio-oharrek kodetze hori aurkezten dute komatxo bikoitza gako batean orain onargarria izateko arrazoi gisa. Beraz, eremuan idatzitako komatxoa irudikagarria da; gauza bera ez da egia kontrol karaktere guztietarako.

Luzera beste murrizketa bat da. Ez dago gutxieneko unibertsalik L2TP/IPsec softwarean: bezero batzuek hogei karaktere baino laburragoak diren gakoak onartzen dituzte eta ate batzuek gutxieneko bat inposatzen dute. Gako labur bat baztertzen bada, araua zerbitzariaren politikari edo bezero horren balidazioari dagokio, eta zerbait lokalean igotzeak ez du aldatuko.

Irakurri zein autentifikazio geruza huts egin duen

Exekutatu ipsec --version lehenengo, strongSwan-ek eta Libreswan-ek fitxategi-izen eta sintaxi desberdinak erabiltzen dituztelako, eta baten aholkuak bestea kaltetu dezakeelako. Gero irakurri hutsegitearen fasea bezeroaren mezutik edo daemonaren erregistrotik: aurrez partekatutako gakoaren inguruko kexa gertaera desberdina da baztertutako erabiltzaile-izena eta pasahitza baino.

PSK-ak tunelaren muturrak autentifikatzen ditu. Erabiltzaile-izenak eta pasahitzak L2TP barruko pertsona autentifikatzen dute, eta PPP-k horiek kudeatzen ditu IPsec elkarketa altxatu ondoren. PSK zuzena kontu okerrarekin huts egiten du oraindik, eta kontua aldatzeak ez du konponduko daemonak inoiz ondo irakurri ez zuen gako bat.

Tiketa ixten duzunean, idatzi laurak: pluginaren bertsioa, erabiltzen ari den sekretu fitxategia, gakoa berriro idatzi edo itsatsi zen, eta errorean aipatzen den geruza. Horrela, ibilbide hau geroago errepikatzen duen edonork zuzenean jauzi dezake lanean dabilen eta huts egiten duen makinen arteko aldera.