Errore bat, hiru sekretu: zein VPN-kredentzial huts egin du?
Bezeroak errore bat erakusten du etapa bakoitzeko. Irakurri asoziazioa, erabiltzaile-trukea eta metodoa inork egiaztatu ez duen pasahitz bat berrezarri aurretik.
«Autentifikazioak huts egin du» mezuak zerbitzari-ziurtagiri bat, makinaren aldez aurretik partekatutako gako bat edo erabiltzailearen pasahitz bat adieraz dezake. Zein den, protokoloaren araberakoa da, protokolo bakoitzak sekretu-multzo ezberdin bat definitzen baitu. Okerra berrezarri eta erroreak huts berdin jarraitzen du. Irtenbidea da protokoloak zenbat froga eskatzen dituen zehaztu, ezer editatu aurretik.
Aurkako norabideetara seinalatzen duten bi froga
Tunel batek erantzun behar du ataka zuzena iritsi duen eta, bereizita, nor den erabiltzailea. Atakaren froga makina mailakoa da: zerbitzari-ziurtagiri bat, aldez aurretik partekatutako gako bat edo gako publiko estatikoa. Erabiltzailearen froga pertsona mailakoa da: pasahitz bat, token bat, bezero-ziurtagiri bat edo ezer ez. Konfiantzaren aurkako norabideak dira eta material ezberdina kontsumitzen dute.
IKEv2k atakaren froga IKE_AUTH barruan egiten du, eta EAP erabiltzen denean, ondoren erabiltzailearen froga truke bereizi batean exekutatzen du. IKEv2 zehaztapenak atal bereizi gisa mantentzen ditu, eta hori arrasto sendoa da mezu bakar batek bi txandak estaltzen dituenean non begiratu jakiteko.
Irakurri etapa, ez mezua
Bezeroak errore-kate bakarra erakusten du huts egin duen etapa edozein dela ere, beraz kateak berak ia informazioik ez du eramaten. Informazioa eramaten duenak etapa bakoitzean ikus dezakezun egoerak eramaten du: asoziazio bat badagoen, erabiltzaile-truke bat hasi den eta bezeroak atakak nahi zuen metodoa eskaini duen. Taulak etapak horrela ordenatzen ditu, protokoloaren izenaren ordez.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Bigarren ilarak bakarrik du erabiltzaileak berriro idatz dezakeen kredentzial batekin zerikusia. Beste hirurak konfigurazioaren egitateak dira, eta desoreka horrek azaltzen du zergatik amaitzen duten horrelako txosten askok ezer aldatzen ez duen pasahitz berrezarpen batekin. Irakurri zure frogarekin bat datorren ilara eremu bat ukitu aurretik.
Bi sekretuko protokolo batek bere kartak erakusten ditu
L2TP IPsec gainean zenbaketa ikusgai egiten du, bi egiaztapenak prozesu ezberdinetan gertatzen baitira. IPsec geruzak lehenik altxatu behar du aldez aurretik partekatutako gako edo ziurtagiri batekin, eta orduan soilik saiatzen da barruko PPP erabiltzaile saio-hasiera bat egiten.
Makina-sekretua okerra denean, ez da asoziaziorik eratzen eta erabiltzailearen kredentziala ez da inoiz probatzen. Makina-sekretua zuzena eta erabiltzaile-sekretua okerra denean, asoziazioa existitzen da eta PPPk saio-hasiera ukatzen du tunela jada altxatuta dagoenean. Biek mezu bera erakusten dute pantailan, bi gertakari ezberdinetatik.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerAsoziazio-zerrenda huts batek erabiltzaile-geruza berehala baztertzen du, beraz egiaztatu pasahitza baino lehen. PPP hutsegite errepikatuak dituen asoziazio ezarri batek beste aldera seinalatzen du, erabiltzaile-geruzara edo barruko autentifikazio-protokolora. Bi ondorioetatik bat ere ez dago eskuragarri bezeroaren errore-testuan.
Zeren menpe dago benetan pasahitz hutseko sarbidea
Pasahitz hutseko sarbidea ohikoa da L2TP, PPTP, SSTP eta EAP duen IKEv2rentzat. WireGuardek ez du halako aukerarik batere, haren parekoak gakoak baitira, ez erabiltzaileak. OpenVPNren kasuan erantzuna zerbitzariaren bezero-ziurtagiri eskakizunetik dator: ziurtagiria eta pasahitza biak eskatzen dituen ataka batek pasahitz hutseko bezeroa baztertzen jarraituko du, eremuan idazten dena idatzita ere.
Zein osagai behar duzun erantzun beretik dator. IKEv2 pean pasahitz bidezko saio-hasierak EAP hitz egiten duen bezero bat eskatzen du, ziurtagiri bidezko saio-hasierak berriz bezeroaren gako pribatua eta zerbitzariaren katea behar ditu. Okerra instalatu eta hutsegitea kredentzial-errore gisa irakurtzen da, falta dena autentifikazio-metodoa bera izan arren.
Aldatu gauza bat eta probatu berriro
Ezarri lehenik hiru egitate: zein protokolo dabilen, zenbat sekretu definitzen dituen eta horietatik zeintzuk makinari dagozkion, erabiltzaileari beharrean. Makinek lehen etapan huts egiten dute eta pertsonek bigarrenean, eta biak nahastea da arazo osoa.
Gero aldatu zehazki gauza bat eta probatu berriro bezero beretik. Diziplina horrek hutsegite nahasia hurrengo pertsonari deskriba diezaiokezun konponketa bihurtzen du, eta hori inork azaldu ezin duen funtzionatzen duen konexio bat baino erabilgarriagoa da.