Dielde geheim of brûkersoanmelding: hokker L2TP/IPsec-fjild is mislearre?
In foarôf dielde kaai bewiist de peetpartner, wylst de PPP-brûkersnamme en -wachtwurd de persoan bewize. De flaterkoade fertelt hokker fan de twa lagen brutsen is.
Ien kantoar kin itselde IPsec-geheim oan elke laptop jaan wylst eltse persoan dochs mei in eigen akkount oanmeldt, en dêrom kinne „de kaai is goed” en „it wachtwurd is goed” beide wier wêze en de oanmelding dochs mislearje. L2TP en IPsec ferifiearje ferskate partijen yn ferskate fazen. In ferliking fan de twa lagen, en de flaterkoade dy't se skiedt, slút de measte fan dizze tickets flugger as it nochris ferwikseljen fan beide wearden. De fazen binne net útwikselber, en it berjocht foar jo seit al hokker yn it spul is.
Twa lagen, twa ferskate identiteiten
IPsec-peetferifikaasje rint earst. De klant en de gateway bewize oan elkoar wa't se binne, mei in foarôf dielde kaai of in sertifikaat, foardat gjin inkele tunnelbelesting beskerme wurdt. De PPP-útwikseling binnen de L2TP-sesje rint dêrnei, en dêr wurde jo brûkersnamme en wachtwurd tsjin de akkountopslach fan de tsjinner kontrolearre.
De fazen binne ûnôfhinklik, dus in jildich brûkersakkount kin in ferkearde IPsec-kaai net rêde, en in goede kaai kin in ferrûn wachtwurd net rêde. Skriuw de beide apart yn it ticket en de diagnoaze falt meastentiids út de earste logrigel dy't in faze neamt.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
It dielde geheim bewiist de peetpartner
In foarôf dielde kaai is in groepsbewiis dat de gateway en elke klant dy't dêr ferbynt, hat. It bewiist dat de peetpartner de kaai ken, en dêrút liedt IKE de kaaien ôf dy't de ferbining beskermje. Nimmen yn dy útwikseling identifisearret de minske by it toetseboerd. Dat is de hiele reden dat in twadde, brûkersnivo-oanmelding yn deselde tunnel bestiet.
Dat ûntwerp hat in praktyske gefolch foar yntrekken. It ferliezen fan ien laptop betsjut de geheim omdraaie foar elk apparaat dat it brûkt, útsein as de ymplemintaasje oerstapt op sertifikaten, dêr't ien apparaat fuortsmiten wurde kin sûnder de rest oan te reitsjen. De ruil is administratyf wurk tsjin de omfang fan 'e skea.
In kaai dy't yn in profyl typt wurdt, is ek it maklikst te lekken bewiis fia skermôfbyldings en chat. Behannelje it as dield ynfrastruktuer materiaal en net as in persoanlik wachtwurd, want dat is it krekt.
De oanmelding heart by PPP
Binnen de L2TP-sesje ûnderhannelet PPP ferifikaasje en freget de tsjinner it pear wearden te ferifiearjen dat jo typt hawwe. Op Windows binne dat deselde brûkersnamme en wachtwurd dy't it profyl freget, en op in router is it wat it PPP-profyl ferwiist. It wurdt kontrolearre tsjin 'e akkountopslach, net tsjin 'e kaai. Twa minsken kinne in laptop en in kaai diele en dochs yn dizze faze útinoar helle wurde.
Om't it brûkersferifikaasje is, jilde alle gewoane akkountbeliedsregels: ferrûn wachtwurd, beskoattele akkount, ynbelskermissning of in namme dy't in domein drage moat. Flater 691 rapportearret dy kombinaasje as wegere, dus lês de boekhâldrecords fan de tsjinner foardat jo wat opnij type.
Lit de flater it fjild kieze
Flater 789 neamt de befeiligingslaach en wiist nei de IPsec-faze. Befêstigje dat de foarôf dielde kaai oan beide kanten krekt oerienkomt, dat de peetpartner-identiteit dy't de gateway ferwachtet oerienkomt mei wat de klant stjoert, en dat de klant foar L2TP/IPsec konfigurearre is en net foar in oar type.
Flater 691 neamt bewizen en wiist nei PPP. Kontrolearje de akkountstatus en it krekte nammeformaat foardat jo de geheim feroarje, want beide tagelyk feroarje ferneatiget it bewiis dat jo liesen.
As de tunnel opkomt en it ferkear dochs stjit, stopje dan hielendal mei it bewurkjen fan ferifikaasjefjilden. Sjoch nei de adrespool, de rûte werom nei it klientsubnet, en de MTU: in ferliking fan de twa lagen helpt allinnich salang't de flater noch binnen harren is.