IKEv2-útwikseling wurket, dan mislearret autentikaasje: wêr’t jo sykje moatte

In klant dy’t in IKEv2-antwurd krijt, hat bewiisd dat de gateway berikber is, dat beide kanten oer in foarstel ûnderhannelje kinne en dat de earste kaai-útwikseling foltôge is. Hy hat net bewiisd dat immen autentisearre is. De folgjende útwikseling draacht identiteiten, sertifikaten of EAP, en dêr stoppet de ferbining meastentiids. Lêze hokker fan dy kontrôles mislearre is de hiele diagnoaze, en de flatermelding allinnich seit it selden.

Kontrôle 1: lês de faze, net de melding

In ôfwizing kin fan trije plakken komme: de klant dy’t de identiteit fan de server wegeret, de gateway dy’t it bewiis fan de klant wegeret en in eksterne autentikaasjetsjinst dy’t it akkount wegeret.

Elk produsearret in oare logrigel op in oare masine, en elk hat in oare oplossing. In ôfwizing fan it server-sertifikaat oan klantkant is in fertrouwens- of nammejouwingsprobleem op de klant; in ôfwizing fan it klantsertifikaat oan gatewaykant is in fertrouwensprobleem op de gateway; in EAP-flater is in akkount- of backendprobleem. De melding dy’t jo sjogge is meastentiids de gearfetting fan de klant fan ien fan dy, en dêrom is it gateway-log like wichtich as dat fan de klant.

Kontrôle 2: hokker identiteit waard kontrolearre

In klant kin it sertifikaat fan de server of syn ferwachte identiteit wegerje foardat der hokker brûkersbewiis dan ek oanbean wurdt, en in wurkjend serveradres ferfangt dy kontrôle net. De identifikaasje dy’t de klant ferwachtet moat oerienkomme mei wat de gateway presintearret, wat in konfiguraasjefear is en gjin netwurkfear.

Yn strongSwan-termen is dat rightid oan klantkant en de eigen identiteit fan de gateway oan de oare kant, en in mismatch mislearret foardat EAP sels besprutsen wurdt.

De gateway kin apart it sertifikaat fan de klant, syn kaai-bewiis of syn akkountautentikaasje wegerje, en dy trije binne net útwikselber. It wachtwurd fan in brûker weromsette kin in apparaatsertifikaat net fernije, en in apparaatsertifikaat opnij ynstallearje kin in ferkearde serveridentiteit net reparearje. Kontrolearje by sertifikaatflaters earst de klok, dan de fertrouwensketen en dan de ferwachte identifikaasje; in klant waans klok minuten ôfwikt, mist in jildichheidskontrôle dy’t op in fertrouwensflater liket. swanctl --list-certs oan beide kanten lit sjen wat elke partij wier hat.

Kontrôle 3: as EAP yn it spul is

De klant en de server moatte it iens wurde oer in stipe metoade, en de backend moat de oanlevere identiteit akseptearje.

In brûkersnamme kin in domeinsuffiks of in spesifyk akkountformaat nedich hawwe dat de útrôl fereasket, en it formaat is dokumintearre ynstee fan te rieden. It oanleverjen fan de dokumintearre fjilden fan de operator is flugger as farianten besykje, en it foarkomt in twadde probleem: werhelle besykjen kinne in akkountbeskoatteling aktivearje, dy’t dan de oarspronklike faze efter in nije flater ferberget. As de metoade EAP-MSCHAPv2 tsjin in gids is, kin de flater by de gids hearre ynstee fan by de VPN.

Test identiteitsproblemen net troch identiteitskontrôles út te skeakeljen. Dat makket in diagnostisearbere flater ûndiagnostisearber en lit de ferbining swakker efter as earder.

Kontrôle 4: wat der bart nei in suksesfolle oanmelding

As IKE_AUTH klear is, beslút CHILD_SA-ûnderhanneling hokker ferkiersselektors ynstallearre wurde, en dêr kin in ferbining slagje en dochs neat trochjaan.

In nij wurkjende oanmelding iepenbaret faak in selektor- of rûteprobleem dat earder efter de autentikaasjeflater ferburgen wie. As de tunnel omheech komt en in applikaasje syn bestimming noch hieltyd net berikt, sjoch dan nei de ûnderhannele selektors en de rûtes ynstee fan wer nei de identiteit. Identiteitsynstellingen op dat stuit feroarje rjochtet him op de ferkearde faze en brekt meastentiids in wurkjende oanmelding. Befêstigje mei swanctl --list-sas, dy’t de bern en har selektors apart fan de IKE SA sjen lit.

Kontrôle 5: wat jo oan support jaan moatte

In skjinne tiidline en de krekte ôfwizing binne mear wurdich as in folsleine diagnostyske eksport, en de eksport kin partikuliere kaaien of oanmeldgegevens befetsje dy’t jo net diele moatte.

Skriuw de tiid op mei de tiidsône, de ferzjes fan klant en gateway, de metoade, de oanbeane identiteitstring ynstee fan it wachtwurd, en de krekte faze dy’t it wegere. De strongSwan IKEv2-konfiguraasjedokumintaasje beskriuwt de identiteits- en EAP-ynstellingen dy’t dizze útkomsten beslisse, en dat is de referinsje om te lêzen foardat jo in fjild feroarje. Feroarje dan ien ding en test in nije ferbining opnij, want in cache-sesje fertelt jo oer de âlde konfiguraasje.