Segredo compartido ou inicio de sesión de usuario: que campo de L2TP/IPsec fallou?
Unha clave precompartida demostra o par, mentres que o usuario e o contrasinal de PPP demostran a persoa. O código de erro di cal das dúas capas rompeu.
Unha oficina pode repartir o mesmo segredo IPsec a todos os portátiles mentres cada persoa inicia sesión cunha conta individual, e por iso «a clave é correcta» e «o contrasinal é correcto» poden ser certas á vez e o inicio de sesión fallar aínda así. L2TP e IPsec autentican partes distintas en etapas distintas. A comparación das dúas capas, e o código de erro que as separa, pechan a maioría destes tickets máis rápido que volver intercambiar ambos os valores. As etapas non son intercambiables, e a mensaxe que ten diante xa di cal está en xogo.
Dúas capas, dúas identidades distintas
Primeiro execútase a autenticación do par de IPsec. O cliente e a pasarela demostran mutuamente quen son, cunha clave precompartida ou un certificado, antes de que se protexa calquera carga do túnel. O intercambio PPP dentro da sesión L2TP vai despois, e aí é onde o seu nome de usuario e o seu contrasinal se comproban contra o almacén de contas do servidor.
As etapas son independentes, así que unha conta de usuario válida non pode rescatar unha clave IPsec incorrecta, e unha clave correcta non pode rescatar un contrasinal caducado. Escriba as dúas por separado no ticket e o diagnóstico adoita caer da primeira liña de rexistro que nomea unha etapa.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
O segredo compartido demostra o par
Unha clave precompartida é unha credencial de grupo que teñen a pasarela e cada cliente que se conecta a ela. Establece que o par coñece a clave, e dela IKE deriva as claves que protexen a conexión. Nada nese intercambio identifica a persoa fronte ao teclado. É exactamente por iso que existe un segundo inicio de sesión, a nivel de usuario, dentro do mesmo túnel.
Ese deseño ten unha consecuencia práctica para a revogación. Perder un portátil significa rotar o segredo para cada dispositivo que o usa, salvo que o despregamento pase a certificados, onde se pode retirar un só dispositivo sen tocar o resto. O intercambio é esforzo administrativo fronte ao alcance do dano.
Unha clave escrita nun perfil é tamén a credencial máis fácil de filtrar mediante capturas de pantalla e chats. Trátea como material de infraestrutura compartido e non como un contrasinal persoal, porque é exactamente iso.
O inicio de sesión pertence a PPP
Dentro da sesión L2TP, PPP negocia a autenticación e pide ao servidor que verifique o par de valores que escribiu. En Windows son o mesmo nome de usuario e contrasinal que pide o perfil, e nun enrutador é o que referencia o perfil PPP. Compróbase contra o almacén de contas, non contra a clave. Dúas persoas poden compartir un portátil e unha clave e aínda así distinguirse nesta etapa.
Como é autenticación de usuario, aplícanse todas as políticas habituais de conta: contrasinal caducado, conta bloqueada, permiso de marcado ou un nome que deba levar dominio. O erro 691 informa esa combinación como rexeitada, así que lea o rexistro de contabilidade do servidor antes de volver escribir nada.
Deixe que o erro escolla o campo
O erro 789 nomea a capa de seguridade e apunta á etapa IPsec. Confirme que a clave precompartida dos dous lados coincide exactamente, que a identidade do par que espera a pasarela coincide co que envía o cliente, e que o cliente está configurado para L2TP/IPsec e non para outro tipo.
O erro 691 nomea credenciais e apunta a PPP. Comprobe o estado da conta e o formato exacto do nome antes de cambiar o segredo, porque cambiar ambos á vez destrúe a evidencia que estaba lendo.
Cando o túnel se levanta e o tráfico segue deténdose, deixe por completo de editar os campos de autenticación. Mire o grupo de enderezos, a ruta de volta á subrede do cliente e a MTU: a comparación das dúas capas só axuda mentres o fallo siga dentro delas.