Sekretu partekatua edo erabiltzaile-saioa: L2TP/IPsec-ren zein eremuk huts egin zuen?
Aurrez partekatutako gakoak parekidea frogatzen du; PPP erabiltzaile-izenak eta pasahitzak, berriz, pertsona. Errore-kodeak esaten du bi geruzetatik zein hautsi zen.
Bulego batek IPsec sekretu bera eman diezaioke ordenagailu guztiei, pertsona bakoitzak kontu indibidualarekin saioa hasten duen bitartean, eta horregatik «gakoa zuzena da» eta «pasahitza zuzena da» aldi berean egia izan daitezke eta saioa hala ere huts egin. L2TP eta IPsec-ek alde desberdinak autentifikatzen dituzte etapa desberdinetan. Bi geruzen konparaketak, eta haiek bereizten dituen errore-kodeak, txartel horietako gehienak itxiko dituzte bi balioak berriro trukatzea baino azkarrago. Etapak ez dira trukagarriak, eta aurrean duzun mezuak jada esaten du zein dagoen jokoan.
Bi geruza, bi identitate desberdin
Lehenik IPsec parekidearen autentifikazioa exekutatzen da. Bezeroak eta atebideak elkarri frogatzen diote nor diren, aurrez partekatutako gako edo ziurtagiri baten bidez, tunel-karga edozein babestu baino lehen. L2TP saioaren barruko PPP trukea geroago gertatzen da, eta han egiaztatzen dira zure erabiltzaile-izena eta pasahitza zerbitzariaren kontu-biltegian.
Etapak independenteak dira, beraz baliozko erabiltzaile-kontu batek ezin du IPsec gako okerra salbatu, eta gako zuzen batek ezin du iraungitako pasahitz bat salbatu. Idatzi biak bereiz txartelean eta diagnostikoa etapa bat aipatzen duen log-lehenengo lerrotik ateratzen da normalean.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Sekretu partekatuak parekidea frogatzen du
Aurrez partekatutako gakoa talde-kredentziala da, atebideak eta harekin konektatzen den bezero bakoitzak daukana. Parekideak gakoa ezagutzen duela finkatzen du, eta handik IKE-k konexioa babesten duten gakoak eratortzen ditu. Truke horrek ez du teklatuan dagoen pertsona identifikatzen. Horregatik dago bigarren saio bat, erabiltzaile mailan, tunel berean.
Diseinu horrek ondorio praktikoa du errebokaziorako. Ordenagailu bat galtzeak haren gakoa erabiltzen duen gailu bakoitzerako sekretua biratzea esan nahi du, ezarpena ziurtagirietara pasatzen ez bada; han gailu bakarra kendu daiteke gainerakoei ukitu gabe. Trukea administrazio-lana da kalte-eremuaren aurka.
Profil batean idatzitako gakoa ere kredentzial filtratzeko errazena da, pantaila-argazki eta txat bidez. Trata ezazu azpiegitura partekatuko material gisa, ez pasahitz pertsonal gisa, zehazki hori delako.
Saioa PPP-rena da
L2TP saioaren barruan, PPP-k autentifikazioa negoziatzen du eta zerbitzariari idatzi duzun balio-bikotea egiaztatzeko eskatzen dio. Windowsen profilean eskatzen diren erabiltzaile-izen eta pasahitz berak dira, eta bideratzailean PPP profilean erreferentziatzen dena. Kontu-biltegian egiaztatzen da, ez gakoan. Bi pertsonek ordenagailua eta gakoa parteka ditzakete eta etapa honetan ere bereizi egiten dira.
Erabiltzaile-autentifikazioa denez, kontuen politika arrunt guztiak aplikatzen dira: iraungitako pasahitza, blokeatutako kontua, markatze-baimena edo domeinua eraman behar duen izena. 691 erroreak konbinazio hori baztertuta bezala jakinarazten du, beraz irakurri zerbitzariaren kontabilitate-erregistroa ezer berriro idatzi aurretik.
Utzi erroreari eremua hautatzen
789 erroreak segurtasun-geruza aipatzen du eta IPsec etapara bideratzen du. Egiaztatu bi aldeetako aurrez partekatutako gakoa zehazki bat datorrela, atebideak espero duen parekide-identitatea bezeroak bidaltzen duenarekin bat datorrela, eta bezeroa L2TP/IPsec-erako konfiguratuta dagoela, beste mota baterako ez.
691 erroreak kredentzialak aipatzen ditu eta PPP-ra bideratzen du. Egiaztatu kontuaren egoera eta izenaren formatu zehatza sekretua aldatu aurretik, biak batera aldatzeak irakurtzen ari zinen froga suntsitzen baitu.
Tunela altxatzen denean eta trafikoa oraindik gelditzen denean, utzi autentifikazio-eremuak editatzen. Begiratu helbide-poolari, bezeroaren azpisarerainoko bideari eta MTU-ri: bi geruzen konparaketak laguntzen du soilik hutsa oraindik haien barruan dagoen bitartean.