L2TP/IPsec PSK odbijen: prođite kroz dijalog, pa kroz datoteke

Zalijepite unaprijed dijeljeni ključ iz administratorove poruke u dijalog NetworkManagera, označite okvir da ga prikažete i on se poklapa znak po znak. Veza ipak završava greškom autentifikacije prije nego što se tunel podigne. Kad sam to prvi put vidio, pretpostavio sam da je ključ pogrešan; nije bio. Dvije druge stvari određuju šta demon zapravo čita: datoteka s tajnama koju dodatak piše za tu vezu i to da li je vrijednost prošla kroz dijalog nepromijenjena.

Prolazak ispod prati ključ od polja do datoteke i to je redoslijed koji vam kaže gdje se izgubio. Radite to na računaru koji ne uspijeva, ne na onom koji radi, jer je razlika između ta dva računara obično raspored datoteka, a ne ključ.

Počnite od dijaloga, ali ne vjerujte polju

Otvorite IPsec karticu veze i ponovo upišite ključ umjesto da ga zalijepite. Ključ kopiran iz chat poruke, PDF-a ili upravitelja lozinkama može stići s prijelomom reda na kraju koji polje ne prikazuje, a prikazani znakovi i dalje izgledaju ispravno.

Kliknite kontrolu za prikaz lozinke i pogledajte kraj niza, ne sredinu. Ako kursor ostavi prazan red ispod teksta, obrišite ga i ponovo upišite posljednji znak. Ta jedna izmjena rješava iznenađujući dio ovakvih prijava i košta manje od čitanja bilo kojeg loga.

Ako ključ dolazi iz sistema za tikete koji prelama duge redove, zatražite ga kroz kanal koji ne prelama. Uporedite dužine s administratorom umjesto da gledate dva niza jedan pored drugog; izgubljeni znak na mjestu prelamanja nevidljiv je u proporcionalnom fontu.

Slijedite ključ u /etc/ipsec.d

Dodatak nikad ne predaje PSK IPsec demonu kao argument na komandnoj liniji. Umjesto toga sprema vrijednost u datoteku s tajnama i uređuje da demon uvidi tu datoteku, dodajući include red u /etc/ipsec.secrets ako ga nema. Ono što dijalog drži jest ulaz za tu generisanu datoteku, ne vrijednost koja se koristi.

Nabrojite šta postoji prije nego što bilo šta promijenite:

ipsec --version
sudo ls -l /etc/ipsec.d/*.secrets /etc/ipsec.d/ipsec.nm-l2tp.secrets 2>/dev/null
sudo grep -n "include" /etc/ipsec.secrets

Starija izdanja dodatka pisala su po jednu datoteku za svaku vezu, nazvanu po UUID-u veze, na primjer /etc/ipsec.d/nm-l2tp-ipsec-<uuid>.secrets. Brisanje profila u apletu ne briše tu datoteku pouzdano. Ako je stara datoteka s prethodnog servera još na disku i još uključena, demon može izabrati tajnu koja pripada profilu koji više ne koristite i veza pada dok je vidljivo polje ispravno.

Shvatite šta je promjena 1.2.12 uradila nadogradnjama

Verzija dodatka 1.2.12 zamijenila je datoteke s tajnama po vezi jednom zajedničkom datotekom, /etc/ipsec.d/ipsec.nm-l2tp.secrets. Nadogradnja ne čisti starije datoteke po UUID-u, a postojeći red include /etc/ipsec.d/*.secrets ih i dalje uključuje. Verzija 1.2.16 promijenila je obradu zadanih prijedloga, ne raspored tajni.

Ta historija objašnjava zašto se dva računara s naizgled istim profilom ponašaju različito. Ključ je identičan; skup datoteka koje demon uključuje nije. Kad uklanjate napuštenu datoteku, premjestite je u stranu umjesto da je brišete, potvrdite vezu, pa je obrišite kad je radno stanje zabilježeno. Preimenovanje čuva staru vrijednost obnovljivom ako se ispostavi da je kvar negdje drugdje.

Odvojite znakove koje format za pohranu ne može držati

strongSwan dokumentacija za niz zajedničke tajne navodi da vrijednost ne može sadržavati prijelom reda ni znak dvostrukog navodnika. Ključ zalijepljen iz dokumenta može nositi bilo koje od toga bez ikakve vizualne razlike u normalnom dijalogu.

Od 1.2.12 pohranjena vrijednost nije običan tekst. Dodatak base64 kodira PSK prije nego što stigne do datoteke, a bilješke izdanja to kodiranje navode kao razlog zašto je dvostruki navodnik sada prihvatljiv u ključu. Navodnik upisan u polje zato je predstavljiv; isto ne vrijedi za svaki kontrolni znak.

Dužina je drugo ograničenje. Nikakav univerzalni minimum ne važi za L2TP/IPsec softver: neki klijenti prihvataju ključeve kraće od dvadeset znakova, a neki gatewayi nameću minimum. Ako kratak ključ bude odbijen, pravilo pripada serverskoj politici ili validaciji tog klijenta i podizanje nečega lokalno to neće promijeniti.

Pročitajte koji je sloj autentifikacije pao

Prvo pokrenite ipsec --version, jer strongSwan i Libreswan koriste različita imena datoteka i sintaksu, a savjet za jedan može oštetiti drugi. Zatim pročitajte fazu kvara iz poruke klijenta ili loga demona: pritužba na unaprijed dijeljeni ključ drugi je događaj od odbijenog korisničkog imena i lozinke.

PSK autentificira krajnje točke tunela. Korisničko ime i lozinka autentificiraju osobu unutar L2TP, a PPP se njima bavi nakon što je IPsec asocijacija podignuta. Ispravan PSK s pogrešnim računom ipak pada, a promjena računa neće popraviti ključ koji demon nikad nije ispravno pročitao.

Kad zatvarate tiket, zapišite sva četiri: verziju dodatka, datoteku s tajnama u upotrebi, da li je ključ ponovo upisan ili zalijepljen i sloj naveden u grešci. Svako ko kasnije ponovi ovaj prolazak može odmah prijeći na razliku između radnog i neuspješnog računara.