Megosztott titok vagy felhasználói bejelentkezés: melyik L2TP/IPsec mező hibázott?
Az előre megosztott kulcs a partnert bizonyítja, míg a PPP felhasználónév és jelszó a személyt. A hibakód megmondja, melyik réteg tört el a kettő közül.
Egy iroda ugyanazt az IPsec titkot adhatja minden laptopnak, miközben mindenki saját fiókkal jelentkezik be, és ezért lehet egyszerre igaz, hogy „a kulcs jó” és „a jelszó jó”, a bejelentkezés mégis meghiúsul. L2TP és az IPsec különböző feleket hitelesít különböző szakaszokban. A két réteg összehasonlítása, és az őket elválasztó hibakód, a legtöbb ilyen jegyet gyorsabban lezárja, mint a két érték ismételt cseréje. A szakaszok nem cserélhetők fel, és az Ön előtti üzenet már megmondja, melyik van játékban.
Két réteg, két különböző identitás
Először az IPsec partnerhitelesítése fut. Az ügyfél és az átjáró kölcsönösen bizonyítják egymásnak, kik ők, előre megosztott kulccsal vagy tanúsítvánnyal, mielőtt bármilyen alagút-terhelés védve lenne. Az L2TP-munkameneten belüli PPP-csere ezután következik, és ott ellenőrzik a felhasználónevet és a jelszót a kiszolgáló fióktárával szemben.
A szakaszok függetlenek, ezért egy érvényes felhasználói fiók nem ment meg egy hibás IPsec-kulcsot, és egy helyes kulcs nem ment meg egy lejárt jelszót. Írja le a kettőt külön a jegyben, és a diagnózis általában abból az első naplósorból esik ki, amely megnevez egy szakaszt.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
A megosztott titok bizonyítja a partnert
Az előre megosztott kulcs csoportos hitelesítő adat, amellyel az átjáró és minden hozzá csatlakozó ügyfél rendelkezik. Biztosítja, hogy a partner ismeri a kulcsot, és ebből az IKE levezeti a kapcsolatot védő kulcsokat. Ebben a cserében semmi nem azonosítja a billentyűzetnél ülő embert. Pontosan ezért létezik egy második, felhasználói szintű bejelentkezés ugyanabban az alagútban.
Ennek a tervnek gyakorlati következménye van a visszavonásra. Egy laptop elvesztése azt jelenti, hogy a titkot minden használó eszközön forgatni kell, kivéve, ha a telepítés áttér a tanúsítványokra, ahol egyetlen eszköz eltávolítható a többi érintése nélkül. Az üzlet adminisztratív erőfeszítés a kár nagyságával szemben.
A profilba beírt kulcs a legkönnyebben kiszivárgó hitelesítő adat is, képernyőképek és csevegés révén. Kezelje megosztott infrastruktúra-anyagként, ne személyes jelszóként, mert pontosan az.
A bejelentkezés a PPP-hez tartozik
Az L2TP-munkameneten belül a PPP tárgyalja a hitelesítést, és megkéri a kiszolgálót, hogy ellenőrizze a beírt értékpárt. Windowson ugyanaz a felhasználónév és jelszó, amit a profil kér, útválasztón pedig az, amire a PPP-profil hivatkozik. Ellenőrzése a fióktárral szemben történik, nem a kulccsal szemben. Két ember osztozhat egy laptopon és egy kulcson, és ebben a szakaszban mégis megkülönböztethetők.
Mivel felhasználóhitelesítésről van szó, minden szokásos fiók-szabályzat érvényes: lejárt jelszó, zárolt fiók, betárcsázási engedély, vagy olyan név, amelynek tartományt kell hordoznia. A 691-es hiba ezt a kombinációt elutasítottként jelenti, ezért olvassa el a kiszolgáló könyvelési rekordját, mielőtt bármit újra beír.
Hagyja, hogy a hiba válassza ki a mezőt
A 789-es hiba megnevezi a biztonsági réteget, és az IPsec szakaszra mutat. Erősítse meg, hogy az előre megosztott kulcs mindkét oldalon pontosan egyezik, hogy az átjáró által várt partneridentitás megfelel annak, amit az ügyfél küld, és hogy az ügyfél L2TP/IPsec-re van beállítva, nem más típusra.
A 691-es hiba hitelesítő adatokat nevez meg, és a PPP-re mutat. Ellenőrizze a fiók állapotát és a név pontos formátumát, mielőtt megváltoztatja a titkot, mert a kettő egyszerre történő módosítása megsemmisíti a bizonyítékot, amit olvasott.
Amikor az alagút feljön, és a forgalom mégis megáll, hagyjon fel teljesen a hitelesítési mezők szerkesztésével. Nézze meg a címkészletet, a visszautat az ügyfél alhálózatába és az MTU-t: a két réteg összehasonlítása csak addig segít, amíg a hiba még bennük van.