Secret partagé ou connexion utilisateur : quel champ L2TP/IPsec a échoué ?
Une clé pré-partagée prouve le pair, tandis que le nom d’utilisateur et le mot de passe PPP prouvent la personne. Le code d’erreur indique laquelle des deux couches a cédé.
Un bureau peut distribuer le même secret IPsec à tous les portables alors que chaque personne se connecte avec un compte individuel, et c’est pourquoi « la clé est correcte » et « le mot de passe est correct » peuvent être vrais tous les deux et la connexion échouer quand même. L2TP et IPsec authentifient des parties différentes à des étapes différentes. La comparaison des deux couches, et le code d’erreur qui les sépare, closent la plupart de ces tickets plus vite qu’un nouvel échange des deux valeurs. Les étapes ne sont pas interchangeables, et le message devant vous dit déjà laquelle est en jeu.
Deux couches, deux identités différentes
L’authentification du pair IPsec s’exécute d’abord. Le client et la passerelle prouvent mutuellement qui ils sont, avec une clé pré-partagée ou un certificat, avant que la moindre charge utile du tunnel ne soit protégée. L’échange PPP à l’intérieur de la session L2TP vient ensuite, et c’est là que votre nom d’utilisateur et votre mot de passe sont vérifiés auprès du magasin de comptes du serveur.
Les étapes sont indépendantes, donc un compte utilisateur valide ne peut pas sauver une clé IPsec incorrecte, et une clé correcte ne peut pas sauver un mot de passe expiré. Écrivez les deux séparément dans le ticket et le diagnostic ressort généralement de la première ligne de journal qui nomme une étape.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Le secret partagé prouve le pair
Une clé pré-partagée est un identifiant de groupe détenu par la passerelle et par chaque client qui s’y connecte. Elle établit que le pair connaît la clé, et IKE en dérive les clés qui protègent la connexion. Rien dans cet échange n’identifie la personne au clavier. C’est précisément pourquoi une seconde connexion, au niveau utilisateur, existe dans le même tunnel.
Cette conception a une conséquence pratique pour la révocation. Perdre un portable signifie faire tourner le secret pour chaque appareil qui l’utilise, sauf si le déploiement passe aux certificats, où un seul appareil peut être retiré sans toucher aux autres. Le compromis oppose l’effort administratif à l’ampleur des dégâts.
Une clé saisie dans un profil est aussi l’identifiant le plus facile à divulguer par captures d’écran et messagerie. Traitez-la comme un matériel d’infrastructure partagé et non comme un mot de passe personnel, car c’est exactement ce qu’elle est.
La connexion appartient à PPP
À l’intérieur de la session L2TP, PPP négocie l’authentification et demande au serveur de vérifier la paire de valeurs que vous avez saisie. Sous Windows, ce sont le même nom d’utilisateur et le même mot de passe que ceux demandés par le profil, et sur un routeur, ce sont ceux auxquels le profil PPP fait référence. La vérification se fait auprès du magasin de comptes, non auprès de la clé. Deux personnes peuvent partager un portable et une clé et être malgré tout distinguées à cette étape.
Comme il s’agit d’une authentification utilisateur, toutes les stratégies de compte habituelles s’appliquent : mot de passe expiré, compte verrouillé, autorisation d’accès à distance ou nom devant porter un domaine. L’erreur 691 signale cette combinaison comme rejetée, alors lisez l’enregistrement comptable du serveur avant de retaper quoi que ce soit.
Laissez l’erreur choisir le champ
L’erreur 789 nomme la couche de sécurité et pointe vers l’étape IPsec. Confirmez que la clé pré-partagée des deux côtés correspond exactement, que l’identité de pair attendue par la passerelle correspond à ce que le client envoie, et que le client est configuré pour L2TP/IPsec et non pour un autre type.
L’erreur 691 nomme les identifiants et pointe vers PPP. Vérifiez l’état du compte et le format exact du nom avant de changer le secret, car changer les deux à la fois détruit la preuve que vous lisiez.
Quand le tunnel monte et que le trafic s’arrête encore, cessez complètement de modifier les champs d’authentification. Regardez le pool d’adresses, la route de retour vers le sous-réseau client et la MTU : la comparaison des deux couches n’aide que tant que la panne est encore à l’intérieur.