IKEv2-vaihto onnistuu, mutta todennus epäonnistuu: mistä etsiä

Asiakas, joka saa IKEv2-vastauksen, on todistanut, että yhdyskäytävä on tavoitettavissa, että molemmat osapuolet voivat neuvotella ehdotuksesta ja että alkuperäinen avaintenvaihto onnistui. Se ei ole todistanut, että ketään on todennettu. Seuraava vaihto kuljettaa identiteettejä, varmenteita tai EAP:n, ja siihen yhteys yleensä pysähtyy. Sen lukeminen, mikä näistä tarkistuksista epäonnistui, on koko diagnoosi, eikä virheilmoitus yksin juuri kerro sitä.

Tarkistus 1: lue vaihe, älä viestiä

Hylkäys voi tulla kolmesta paikasta: asiakas hylkää palvelimen identiteetin, yhdyskäytävä hylkää asiakkaan todisteen ja ulkoinen todennuspalvelu hylkää tilin.

Jokainen tuottaa eri lokirivin eri koneella, ja jokaisella on eri korjaus. Asiakkaan puolella tapahtuva palvelinvarmenteen hylkäys on luottamus- tai nimeämisongelma asiakkaassa; yhdyskäytävän puolella tapahtuva asiakasvarmenteen hylkäys on luottamusongelma yhdyskäytävässä; EAP-virhe on tili- tai taustajärjestelmäongelma. Näkemäsi viesti on yleensä asiakkaan yhteenveto yhdestä näistä, minkä vuoksi yhdyskäytävän loki on yhtä tärkeä kuin asiakkaan loki.

Tarkistus 2: mikä identiteetti tarkistettiin

Asiakas voi hylätä palvelimen varmenteen tai odotetun identiteettinsä ennen kuin käyttäjän tunnistetietoja tarjotaan, eikä toimiva palvelinosoite korvaa tätä tarkistusta. Sen, jonka asiakas odottaa, on vastattava sitä, mitä yhdyskäytävä esittää, mikä on määritystieto eikä verkkotieto.

strongSwanin termeillä se on asiakkaan rightid ja yhdyskäytävän oma identiteetti toisella puolella, ja ristiriita epäonnistuu ennen kuin EAP:sta edes keskustellaan.

Yhdyskäytävä voi erikseen hylätä asiakkaan varmenteen, sen avaintodisteen tai sen tilitodennuksen, eikä nämä kolme ole keskenään vaihdettavissa. Käyttäjän salasanan vaihtaminen ei uusi laitevarmennetta, eikä laitevarmenteen asentaminen uudelleen korjaa väärää palvelinidentiteettiä. Varmennevirheissä tarkista ensin kello, sitten luottamusketju ja lopuksi odotettu identiteetti; asiakas, jonka kello on minuutteja pielessä, epäonnistuu kelpoisuustarkistuksessa, joka näyttää luottamusvirheeltä. swanctl --list-certs molemmissa päissä näyttää, mitä kumpikin osapuoli todella hallussaan pitää.

Tarkistus 3: jos EAP on mukana

Asiakkaan ja palvelimen on sovittava tuetusta menetelmästä, ja taustajärjestelmän on hyväksyttävä annettu identiteetti.

Käyttäjänimi voi tarvita toimialueen liitteen tai tietyn tilimuodon, jota käyttöönotto edellyttää, ja muoto on dokumentoitu eikä arvattavissa. Ylläpitäjän dokumentoimien kenttien antaminen on nopeampaa kuin variaatioiden kokeileminen, ja se välttää toisen ongelman: toistuvat yritykset voivat laukaista tilin lukituksen, joka sitten kätkee alkuperäisen vaiheen uuden virheen taakse. Jos menetelmä on EAP-MSCHAPv2 hakemistoa vastaan, virhe voi kuulua hakemistolle eikä VPN:lle lainkaan.

Älä testaa identiteettiongelmia poistamalla identiteettitarkistukset käytöstä. Se muuttaa diagnosoitavan virheen diagnosoimattomaksi ja jättää yhteyden heikommaksi kuin ennen.

Tarkistus 4: mitä tapahtuu onnistuneen kirjautumisen jälkeen

Kun IKE_AUTH on valmis, CHILD_SA-neuvottelu päättää, mitkä liikenteen valitsimet asennetaan, ja juuri siinä yhteys voi onnistua ja silti kuljettaa mitään.

Äskettäin toimiva kirjautuminen paljastaa usein valitsin- tai reittiongelman, joka oli aiemmin piilossa todennusvirheen takana. Jos tunneli nousee ja sovellus ei silti tavoita kohdettaan, katso neuvoteltuja valitsimia ja reittejä äläkä identiteettiä uudelleen. Identiteettiasetusten muuttaminen siinä vaiheessa osuu väärään vaiheeseen ja rikkoo yleensä toimivan kirjautumisen. Vahvista komennolla swanctl --list-sas, joka näyttää lapset ja niiden valitsimet erikseen IKE SA:sta.

Tarkistus 5: mitä tukeen kannattaa antaa

Puhdistettu aikajana ja täsmällinen hylkäys ovat arvokkaampia kuin täysi diagnostiikkavienti, ja vienti voi sisältää yksityisiä avaimia tai tunnistetietoja, joita sinun ei pitäisi jakaa.

Kirjaa aika aikavyöhykkeineen, asiakkaan ja yhdyskäytävän versiot, menetelmä, tarjottu identiteettimerkkijono salasanan sijaan sekä täsmällinen vaihe, joka hylkäsi sen. strongSwanin IKEv2-määritysdokumentaatio kuvaa identiteetti- ja EAP-asetukset, jotka ratkaisevat nämä lopputulokset, ja se on viite, joka kannattaa lukea ennen kentän muuttamista. Muuta sitten yhtä asiaa ja testaa uusi yhteys uudelleen, sillä välimuistiin jäänyt istunto kertoo vanhasta määrityksestä.