Dijeljena tajna ili korisnička prijava: koje je polje L2TP/IPsec-a zakazalo?
Unaprijed dijeljeni ključ dokazuje partnera, a PPP korisničko ime i lozinka dokazuju osobu. Kod greške kaže koji je od dva sloja pao.
Jedan ured može svakom prijenosniku dati istu IPsec tajnu dok se svaka osoba ipak prijavljuje vlastitim računom, i zato „ključ je ispravan” i „lozinka je ispravna” mogu biti istovremeno točni a prijava ipak ne uspijeva. L2TP i IPsec provjeravaju različite strane u različitim fazama. Usporedba dvaju slojeva i kod greške koji ih razdvaja zatvaraju većinu ovakvih zahtjeva brže od još jedne zamjene obje vrijednosti. Faze nisu zamjenjive, a poruka pred vama već kaže koja je u igri.
Dva sloja, dva različita identiteta
Prvo se izvršava IPsec provjera partnera. Klijent i pristupnik dokazuju jedan drugom tko su, unaprijed dijeljenim ključem ili certifikatom, prije nego što se zaštiti bilo koji sadržaj tunela. Razmjena PPP unutar L2TP sesije ide poslije i tu se vaše korisničko ime i lozinka provjeravaju prema spremištu računa na poslužitelju.
Faze su neovisne, pa valjan korisnički račun ne može spasiti pogrešan IPsec ključ, a ispravan ključ ne može spasiti isteklu lozinku. Zapišite ih odvojeno u zahtjev i dijagnoza obično ispadne iz prvog retka zapisa koji imenuje fazu.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Dijeljena tajna dokazuje partnera
Unaprijed dijeljeni ključ je grupni akreditiv koji drže pristupnik i svaki klijent koji se na njega spaja. Njime se utvrđuje da partner zna ključ, i iz njega IKE izvodi ključeve koji štite vezu. Ništa u toj razmjeni ne identificira čovjeka za tipkovnicom. Upravo zato u istom tunelu postoji druga prijava na razini korisnika.
Taj dizajn ima praktičnu posljedicu za opoziv. Gubitak jednog prijenosnika znači rotaciju tajne za svaki uređaj koji je koristi, osim ako se instalacija ne prebaci na certifikate, gdje se jedan uređaj može ukloniti bez diranja ostalih. Trampa je administrativni rad protiv opsega štete.
Ključ upisan u profil ujedno je i najlakši akreditiv za curenje kroz snimke zaslona i chat. Tretirajte ga kao zajednički infrastrukturni materijal, a ne kao osobnu lozinku, jer to upravo i jest.
Prijava pripada PPP-u
Unutar L2TP sesije PPP pregovara provjeru i traži od poslužitelja da potvrdi par vrijednosti koje ste unijeli. Na Windowsu su to isto korisničko ime i lozinka koje profil traži, a na usmjerivaču ono na što upućuje PPP profil. Provjerava se prema spremištu računa, ne prema ključu. Dvoje ljudi može dijeliti prijenosnik i ključ i opet se razlikovati u ovoj fazi.
Budući da je to korisnička provjera, vrijede sve uobičajene politike računa: istekla lozinka, zaključan račun, dozvola za dial-in ili ime koje mora nositi domenu. Greška 691 prijavljuje tu kombinaciju kao odbijenu, pa pročitajte računovodstveni zapis poslužitelja prije nego što bilo što ponovno otipkate.
Neka greška izabere polje
Greška 789 imenuje sigurnosni sloj i upućuje na fazu IPsec. Potvrdite da se unaprijed dijeljeni ključ na obje strane točno poklapa, da identitet partnera koji pristupnik očekuje odgovara onome što klijent šalje i da je klijent konfiguriran za L2TP/IPsec, a ne za drugi tip.
Greška 691 imenuje akreditive i upućuje na PPP. Provjerite stanje računa i točan format imena prije nego što promijenite tajnu, jer promjena oba odjednom uništava dokaz koji ste čitali.
Kada se tunel podigne a promet i dalje stane, potpuno prestanite uređivati polja za provjeru. Pogledajte bazen adresa, rutu natrag u klijentsku podmrežu i MTU: usporedba dvaju slojeva pomaže samo dok je kvar još unutar njih.