کلید مشترک یا ورود کاربر: کدام فیلد L2TP/IPsec شکست خورد؟
کلید از پیش اشتراکی همتا را اثبات می‌کند، در حالی که نام کاربری و گذرواژه PPP شخص را. کد خطا می‌گوید کدام یک از دو لایه خراب شده است.
یک دفتر می‌تواند همان راز IPsec را به همه لپ‌تاپ‌ها بدهد و در همان حال هر شخص با حساب فردی خود وارد شود، و همین است که «کلید درست است» و «گذرواژه درست است» می‌توانند هر دو درست باشند و ورود باز هم شکست بخورد. L2TP و IPsec طرف‌های متفاوتی را در مراحل متفاوت احراز هویت می‌کنند. مقایسه دو لایه و کد خطایی که آن‌ها را جدا می‌کند بیشتر این تیکت‌ها را سریع‌تر از تعویض دوباره هر دو مقدار می‌بندد. مراحل قابل تبادل نیستند و پیامی که پیش روی شماست از قبل می‌گوید کدام‌یک در جریان است.
دو لایه، دو هویت متفاوت
ابتدا احراز هویت همتای IPsec اجرا می‌شود. کلاینت و دروازه پیش از آن‌که هر بار تونل محافظت شود، با کلید از پیش اشتراکی یا گواهی به یکدیگر اثبات می‌کنند که چه کسی هستند. تبادل PPP درون نشست L2TP پس از آن رخ می‌دهد و همان‌جاست که نام کاربری و گذرواژه شما در برابر مخزن حساب‌های سرور بررسی می‌شوند.
مراحل مستقل‌اند، بنابراین حساب کاربری معتبر نمی‌تواند کلید IPsec اشتباه را نجات دهد، و کلید درست نمی‌تواند گذرواژه منقضی را نجات دهد. دو مورد را جداگانه در تیکت بنویسید و تشخیص معمولاً از نخستین خط گزارش که نام یک مرحله را می‌آورد بیرون می‌آید.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
راز مشترک همتا را اثبات می‌کند
کلید از پیش اشتراکی یک اعتبارنامه گروهی است که دروازه و هر کلاینتی که به آن وصل می‌شود آن را دارد. ثابت می‌کند که همتا کلید را می‌داند، و IKE از آن کلیدهایی را که اتصال را محافظت می‌کنند استخراج می‌کند. هیچ چیز در آن تبادل انسان پشت صفحه‌کلید را شناسایی نمی‌کند. دقیقاً به همین دلیل یک ورود دوم در سطح کاربر در همان تونل وجود دارد.
این طراحی برای لغو یک پیامد عملی دارد. از دست دادن یک لپ‌تاپ یعنی چرخاندن راز برای هر دستگاهی که از آن استفاده می‌کند، مگر آن‌که استقرار به گواهی‌ها منتقل شود که در آن یک دستگاه بدون دست زدن به بقیه حذف می‌شود. معامله، تلاش اداری در برابر دامنه آسیب است.
کلیدی که در پروفایل تایپ می‌شود همچنین ساده‌ترین اعتبارنامه برای نشت از طریق تصویر صفحه و چت است. با آن مانند مواد زیرساخت مشترک رفتار کنید نه گذرواژه شخصی، چون دقیقاً همان است.
ورود متعلق به PPP است
درون نشست L2TP، PPP احراز هویت را مذاکره می‌کند و از سرور می‌خواهد جفت مقداری را که تایپ کردید بررسی کند. در ویندوز همان نام کاربری و گذرواژه‌ای است که پروفایل می‌خواهد، و در روتر همان چیزی است که پروفایل PPP به آن ارجاع می‌دهد. این در برابر مخزن حساب‌ها بررسی می‌شود، نه در برابر کلید. دو نفر می‌توانند لپ‌تاپ و کلید را شریک شوند و باز هم در این مرحله از هم تشخیص داده شوند.
چون احراز هویت کاربر است، همه سیاست‌های معمول حساب اعمال می‌شوند: گذرواژه منقضی، حساب قفل‌شده، مجوز شماره‌گیری، یا نامی که باید دامنه داشته باشد. خطای 691 این ترکیب را ردشده گزارش می‌کند، پس پیش از دوباره تایپ کردن چیزی، سابقه حسابداری سرور را بخوانید.
بگذارید خطا فیلد را انتخاب کند
خطای 789 لایه امنیت را نام می‌برد و به مرحله IPsec اشاره می‌کند. تأیید کنید که کلید از پیش اشتراکی در دو طرف دقیقاً یکسان است، هویت همتایی که دروازه انتظار دارد با آنچه کلاینت می‌فرستد مطابقت دارد، و کلاینت برای L2TP/IPsec پیکربندی شده است نه نوعی دیگر.
خطای 691 اعتبارنامه‌ها را نام می‌برد و به PPP اشاره می‌کند. وضعیت حساب و قالب دقیق نام را پیش از تغییر راز بررسی کنید، چون تغییر هر دو با هم شواهدی را که می‌خواندید نابود می‌کند.
وقتی تونل بالا می‌آید و ترافیک باز هم می‌ایستد، ویرایش فیلدهای احراز هویت را کاملاً متوقف کنید. به مخزن نشانی‌ها، مسیر بازگشت به زیرشبکه کلاینت و MTU نگاه کنید: مقایسه دو لایه فقط تا زمانی کمک می‌کند که خرابی هنوز درون آن‌ها باشد.