Jaettu salaisuus vai käyttäjän kirjautuminen: mikä L2TP/IPsec-kenttä petti?
Ennalta jaettu avain todistaa vastapuolen, kun taas PPP-käyttäjänimi ja -salasana todistavat henkilön. Virhekoodi kertoo, kumpi kahdesta kerroksesta rikkoutui.
Yksi toimisto voi antaa saman IPsec-salaisuuden jokaiselle kannettavalle, vaikka jokainen henkilö kirjautuu silti omalla tilillään, ja siksi «avain on oikein» ja «salasana on oikein» voivat molemmat pitää paikkansa ja kirjautuminen silti epäonnistua. L2TP ja IPsec todentavat eri osapuolia eri vaiheissa. Kahden kerroksen vertailu ja ne erottava virhekoodi sulkevat useimmat tällaiset tiketit nopeammin kuin molempien arvojen vaihtaminen uudelleen. Vaiheet eivät ole vaihdettavissa, ja edessäsi oleva viesti kertoo jo, kumpi on pelissä.
Kaksi kerrosta, kaksi eri identiteettiä
Ensin suoritetaan IPsecin vastapuolen todentaminen. Asiakas ja yhdyskäytävä todistavat toisilleen, keitä ovat, ennalta jaetulla avaimella tai varmenteella, ennen kuin mitään tunnelin hyötykuormaa suojataan. L2TP-istunnon sisäinen PPP-vaihto tapahtuu sen jälkeen, ja siinä käyttäjänimesi ja salasanasi tarkistetaan palvelimen tilitietovarastoa vastaan.
Vaiheet ovat riippumattomia, joten voimassa oleva käyttäjätili ei pelasta väärää IPsec-avainta, eikä oikea avain pelasta vanhentunutta salasanaa. Kirjoita molemmat erikseen tikettiin, ja diagnoosi putoaa yleensä ensimmäisestä lokirivistä, joka nimeää vaiheen.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Jaettu salaisuus todistaa vastapuolen
Ennalta jaettu avain on ryhmätunniste, joka on yhdyskäytävällä ja jokaisella siihen yhteyden muodostavalla asiakkaalla. Se osoittaa, että vastapuoli tuntee avaimen, ja siitä IKE johtaa yhteyttä suojaavat avaimet. Mikään siinä vaihdossa ei tunnista näppäimistön ääressä olevaa ihmistä. Juuri siksi samassa tunnelissa on toinen, käyttäjätason kirjautuminen.
Tällä suunnittelulla on käytännön seuraus peruuttamiselle. Yhden kannettavan menetys tarkoittaa salaisuuden kierrättämistä jokaiselle sitä käyttävälle laitteelle, ellei käyttöönotto siirry varmenteisiin, joissa yhden laitteen voi poistaa koskematta muihin. Kauppa on hallinnollinen työ suhteessa vahingon laajuuteen.
Profiiliin kirjoitettu avain on myös helpoimmin vuotava tunniste kuvakaappausten ja chattien kautta. Kohtele sitä jaettuna infrastruktuurimateriaalina äläkä henkilökohtaisena salasanana, koska juuri sitä se on.
Kirjautuminen kuuluu PPP:lle
L2TP-istunnon sisällä PPP neuvottelee todentamisesta ja pyytää palvelinta vahvistamaan kirjoittamasi arvoparin. Windowsissa ne ovat samat käyttäjänimi ja salasana, joita profiili kysyy, ja reitittimessä se, mihin PPP-profiili viittaa. Se tarkistetaan tilitietovarastoa vastaan, ei avainta vastaan. Kaksi ihmistä voi jakaa kannettavan ja avaimen ja silti heidät erotetaan tässä vaiheessa.
Koska kyse on käyttäjän todentamisesta, kaikki tavalliset tilitoimintaperiaatteet pätevät: vanhentunut salasana, lukittu tili, soittolupa tai nimi, jossa on oltava toimialue. Virhe 691 ilmoittaa tämän yhdistelmän hylättynä, joten lue palvelimen kirjanpitotietue ennen kuin kirjoitat mitään uudelleen.
Anna virheen valita kenttä
Virhe 789 nimeää suojaustason ja osoittaa IPsec-vaiheeseen. Varmista, että ennalta jaettu avain täsmää molemmilla puolilla täsmälleen, että yhdyskäytävän odottama vastapuolen identiteetti vastaa sitä, mitä asiakas lähettää, ja että asiakas on määritetty L2TP/IPsecille eikä muulle tyypille.
Virhe 691 nimeää tunnistetiedot ja osoittaa PPP:hen. Tarkista tilin tila ja nimen tarkka muoto ennen salaisuuden vaihtamista, sillä molempien vaihtaminen kerralla tuhoaa todisteen, jota luit.
Kun tunneli nousee ja liikenne silti pysähtyy, lopeta todentamiskenttien muokkaaminen kokonaan. Katso osoitepoolia, paluureittiä asiakkaan aliverkkoon ja MTU:ta: kahden kerroksen vertailu auttaa vain niin kauan kuin vika on vielä niiden sisällä.