IKEv2 փոխանակումը աշխատում է, հետո նույնականացումը ձախողվում է՝ որտեղ փնտրել
Թունելը ստանում է պատասխան և հետո կանգ է առնում՝ բանալիների փոխանակումը հաջողվեց, իսկ ավելի ուշ ստուգումը՝ ոչ։ Օգտագործեք մերժման փուլը՝ պարզելու, թե որ ինքնությունն է մերժվել։
IKEv2 պատասխան ստացող հաճախորդը ապացուցել է, որ դարպասը հասանելի է, որ երկու կողմերը կարող են բանակցել առաջարկի շուրջ և որ սկզբնական բանալիների փոխանակումը ավարտվել է։ Նա չի ապացուցել, որ որևէ մեկը նույնականացված է։ Հաջորդ փոխանակումը կրում է ինքնություններ, վկայագրեր կամ EAP, և հենց այնտեղ է, որ կապը սովորաբար կանգ է առնում։ Կարդալը, թե այդ ստուգումներից որն է ձախողվել, ամբողջ ախտորոշումն է, և սխալի հաղորդագրությունն ինքնին հազվադեպ է դա ասում։
Ստուգում 1՝ կարդացեք փուլը, ոչ թե հաղորդագրությունը
Մերժումը կարող է գալ երեք տեղից՝ հաճախորդը մերժում է սերվերի ինքնությունը, դարպասը մերժում է հաճախորդի ապացույցը, և արտաքին նույնականացման ծառայությունը մերժում է հաշիվը։
Յուրաքանչյուրը տալիս է տարբեր գրանցամատյանի տող տարբեր մեքենայում, և յուրաքանչյուրն ունի տարբեր լուծում։ Սերվերի վկայագրի մերժումը հաճախորդի կողմից վստահության կամ անվանման խնդիր է հաճախորդի վրա՝ հաճախորդի վկայագրի մերժումը դարպասի կողմից վստահության խնդիր է դարպասի վրա՝ EAP-ի ձախողումը հաշվի կամ հետին համակարգի խնդիր է։ Ձեր տեսած հաղորդագրությունը սովորաբար հաճախորդի ամփոփումն է դրանցից մեկի մասին, ինչի պատճառով դարպասի գրանցամատյանը նույնքան կարևոր է, որքան հաճախորդինը։
Ստուգում 2՝ որ ինքնությունն է ստուգվել
Հաճախորդը կարող է մերժել սերվերի վկայագիրը կամ իր սպասված ինքնությունը նախքան օգտվողի որևէ հավատարմագիր առաջարկելը, և աշխատող սերվերի հասցեն այդ ստուգման փոխարինող չէ։ Այն նույնացուցիչը, որը հաճախորդը սպասում է, պետք է համապատասխանի այն ամենին, ինչ ներկայացնում է դարպասը՝ ինչը կազմաձևման փաստ է, ոչ թե ցանցի փաստ։
strongSwan-ի տերմիններով դա հաճախորդի վրա rightid է, իսկ մյուս կողմում՝ դարպասի սեփական ինքնությունը, և անհամապատասխանությունը ձախողվում է նույնիսկ նախքան EAP-ի քննարկումը։
Դարպասը, առանձին, կարող է մերժել հաճախորդի վկայագիրը, նրա բանալու ապացույցը կամ նրա հաշվի նույնականացումը, և այդ երեքը փոխարինելի չեն։ Օգտվողի գաղտնաբառի վերականգնումը չի նորացնում սարքի վկայագիրը, և սարքի վկայագրի վերատեղադրումը չի շտկում սխալ սերվերի ինքնությունը։ Վկայագրի ձախողումների դեպքում նախ ստուգեք ժամացույցը, ապա վստահության շղթան, ապա սպասվող նույնացուցիչը՝ հաճախորդը, որի ժամացույցը մի քանի րոպե շեղված է, ձախողում է վավերականության ստուգումը, որը նման է վստահության ձախողմանը։ swanctl --list-certs երկու ծայրերում ցույց է տալիս, թե ինչ է իրականում պահում յուրաքանչյուր կողմը։
Ստուգում 3՝ եթե EAP-ն ներգրավված է
Հաճախորդն ու սերվերը պետք է համաձայնության գան աջակցվող մեթոդի շուրջ, և հետին համակարգը պետք է ընդունի տրամադրված ինքնությունը։
Օգտանունը կարող է պահանջել տիրույթի վերջածանց կամ տեղակայման պահանջած հատուկ հաշվի ձևաչափ, և ձևաչափը փաստաթղթավորված է, ոչ թե գուշակելի։ Օպերատորի փաստաթղթավորված դաշտերի տրամադրումը ավելի արագ է, քան տարբերակների փորձարկումը, և այն խուսափում է երկրորդ խնդրից՝ կրկնվող փորձերը կարող են հաշվի արգելափակում առաջացնել, որն այնուհետև թաքցնում է սկզբնական փուլը նոր ձախողման հետևում։ Եթե մեթոդը EAP-MSCHAPv2 է տեղեկատուի դեմ, ձախողումը կարող է պատկանել տեղեկատուին, այլ ոչ թե VPN-ին։
Մի՛ փորձարկեք ինքնության խնդիրները՝ անջատելով ինքնության ստուգումները։ Դա ախտորոշելի ձախողումը դարձնում է անախտորոշելի և կապը թողնում ավելի թույլ, քան առաջ։
Ստուգում 4՝ ինչ է տեղի ունենում հաջող մուտքից հետո
Երբ IKE_AUTH-ն ավարտվում է, CHILD_SA-ի բանակցությունը որոշում է, թե որ երթևեկության ընտրիչներն են տեղադրվում, և հենց այնտեղ կապը կարող է հաջողվել և միևնույն ժամանակ ոչինչ չանցկացնել։
Նոր աշխատող մուտքը հաճախ բացահայտում է ընտրիչի կամ երթուղու խնդիր, որը նախկինում թաքնված էր նույնականացման ձախողման հետևում։ Եթե թունելը բարձրանում է, և հավելվածը դեռ չի հասնում իր նպատակակետին, նայեք բանակցված ընտրիչներին և երթուղիներին, այլ ոչ թե կրկին ինքնությանը։ Այդ պահին ինքնության կարգավորումները փոխելը թիրախավորում է սխալ փուլը և սովորաբար կոտրում է աշխատող մուտքը։ Հաստատեք swanctl --list-sas-ով, որը ցույց է տալիս զավակներին և նրանց ընտրիչները առանձին IKE SA-ից։
Ստուգում 5՝ ինչ տալ աջակցությանը
Մաքրված ժամանակագրությունն ու ճշգրիտ մերժումն ավելի արժեքավոր են, քան ամբողջական ախտորոշիչ արտահանումը, և արտահանումը կարող է պարունակել մասնավոր բանալիներ կամ հավատարմագրեր, որոնք չպետք է կիսվեն։
Գրանցեք ժամը՝ ժամային գոտու հետ, հաճախորդի և դարպասի տարբերակները, մեթոդը, առաջարկված ինքնության տողը՝ գաղտնաբառի փոխարեն, և այն ճշգրիտ փուլը, որը մերժել է այն։ strongSwan-ի IKEv2 կազմաձևման փաստաթղթերը նկարագրում են ինքնության և EAP-ի կարգավորումները, որոնք որոշում են այս արդյունքները, և դա այն հղումն է, որը պետք է կարդալ դաշտը փոխելուց առաջ։ Ապա փոխեք մեկ բան և կրկին փորձարկեք նոր կապ, քանի որ քեշավորված սեսիան ձեզ կպատմի հին կազմաձևման մասին։