L2TP/IPsec PSK-ն մերժված է՝ սկզբում երկխոսությունը, հետո ֆայլերը

Դուք տեղադրում եք նախապես համօգտագործված բանալին ադմինիստրատորի հաղորդագրությունից NetworkManager-ի երկխոսության մեջ, նշում եք ցուցադրման վանդակը, և այն համընկնում է նշան առ նշան։ Միացումը դեռ ավարտվում է նույնականացման ձախողմամբ, նախքան թունելը կբարձրանա։ Առաջին անգամ դա տեսնելով՝ ենթադրեցի, որ բանալին սխալ է, բայց այդպես չէր։ Եվս երկու բան է որոշում, թե դեմոնն ինչ է իրականում կարդում՝ գաղտնիքի ֆայլը, որը հավելվածը գրում է այդ միացման համար, և այն, թե արժեքը երկխոսությունից անցել է առանց փոփոխության։

Ստորև նկարագրված ուղին հետևում է բանալուն դաշտից մինչև ֆայլ, և հենց այդ հերթականությունն է ասում, թե որտեղ այն կորավ։ Կատարեք դա ձախողվող մեքենայի վրա, ոչ թե աշխատողի, որովհետև այդ երկու մեքենաների տարբերությունը սովորաբար ֆայլերի դասավորությունն է, ոչ թե բանալին։

Սկսեք երկխոսությունից, բայց չվստահեք դաշտին

Բացեք միացման IPsec ներդիրը և բանալին նորից մուտքագրեք՝ տեղադրելու փոխարեն։ Զրույցի հաղորդագրությունից, PDF-ից կամ գաղտնաբառերի կառավարիչից պատճենված բանալին կարող է գալ վերջում տողաբեկմամբ, որը դաշտը չի ցուցադրում, և երևացող նշանները դեռ ճիշտ են թվում։

Սեղմեք գաղտնաբառի ցուցադրման կոճակը և նայեք տողի վերջին, ոչ թե մեջտեղին։ Եթե կուրսորը տեքստի տակ դատարկ տող է թողնում, ջնջեք այն և նորից մուտքագրեք վերջին նշանը։ Այդ մեկ ուղղումը լուծում է այս հաշվետվությունների զարմանալի մասը և արժենում է ավելի քիչ, քան ցանկացած մատյանի ընթերցումը։

Եթե բանալին գալիս է տոմսային համակարգից, որը տողադարձում է երկար տողերը, խնդրեք այն ալիքով, որը տողադարձ չի անում։ Համեմատեք երկարությունները ադմինիստրատորի հետ, փոխարենը երկու տող կողք-կողքի չնայելու․ կորսված նշանը տողադարձի կետում անտեսանելի է համաչափ տառատեսակում։

Հետևեք բանալուն /etc/ipsec.d-ի մեջ

Հավելվածը երբեք PSK-ն չի տալիս IPsec դեմոնին որպես հրամանի տողի արգումենտ։ Փոխարենը այն արժեքը պահում է գաղտնիքի ֆայլում և կազմակերպում է, որ դեմոնը ներառի այդ ֆայլը՝ ավելացնելով include տող /etc/ipsec.secrets-ում, եթե այն չկա։ Այն, ինչ պահում է երկխոսությունը, մուտքային տվյալ է այդ ստեղծված ֆայլի համար, ոչ թե օգտագործվող արժեքը։

Թվարկեք, թե ինչ կա, նախքան որևէ բան փոխելը՝

ipsec --version
sudo ls -l /etc/ipsec.d/*.secrets /etc/ipsec.d/ipsec.nm-l2tp.secrets 2>/dev/null
sudo grep -n "include" /etc/ipsec.secrets

Հավելվածի հին թողարկումները գրում էին մեկ ֆայլ յուրաքանչյուր միացման համար՝ անվանված միացման UUID-ով, օրինակ՝ /etc/ipsec.d/nm-l2tp-ipsec-<uuid>.secrets։ Ափլեթում պրոֆիլի ջնջումը հուսալիորեն չի ջնջում այդ ֆայլը։ Եթե նախորդ սերվերի հին ֆայլը դեռ սկավառակի վրա է և դեռ ներառված է, դեմոնը կարող է ընտրել գաղտնիք, որը պատկանում է այն պրոֆիլին, որն այլևս չեք օգտագործում, և միացումը ձախողվում է, մինչ տեսանելի դաշտը ճիշտ է։

Հասկացեք, թե 1.2.12 փոփոխությունն ինչ արեց թարմացումների հետ

Հավելվածի 1.2.12 տարբերակը փոխարինեց յուրաքանչյուր միացման գաղտնիքի ֆայլերը մեկ ընդհանուր ֆայլով՝ /etc/ipsec.d/ipsec.nm-l2tp.secrets։ Թարմացումը չի մաքրում UUID-ով հին ֆայլերը, և գոյություն ունեցող include /etc/ipsec.d/*.secrets տողը դեռ ներառում է դրանք։ 1.2.16 տարբերակը փոխեց լռելյայն առաջարկների մշակումը, ոչ թե գաղտնիքների դասավորությունը։

Այդ պատմությունը բացատրում է, թե ինչու նույն պրոֆիլն ունեցող թվացող երկու մեքենաներ տարբեր կերպ են վարվում։ Բանալին նույնական է, իսկ դեմոնի ներառած ֆայլերի բազմությունը՝ ոչ։ Երբ հեռացնում եք որբ ֆայլը, տեղափոխեք այն կողմ, փոխարենը ջնջելու, հաստատեք միացումը, ապա ջնջեք այն, երբ աշխատող վիճակը գրանցված է։ Վերանվանումը պահում է հին արժեքը վերականգնելի, եթե պարզվի, որ խափանումը այլ տեղ է։

Առանձնացրեք այն նշանները, որոնք պահման ձևաչափը չի կարող պահել

strongSwan-ի փաստաթղթերը համօգտագործված գաղտնիքի տողի մասին ասում են, որ արժեքը չի կարող պարունակել տողաբեկում կամ կրկնակի չակերտի նշան։ Փաստաթղթից տեղադրված բանալին կարող է կրել դրանցից որևէ մեկը՝ առանց որևէ տեսանելի տարբերության սովորական երկխոսության մեջ։

1.2.12-ից ի վեր պահված արժեքը պարզ տեքստ չէ։ Հավելվածը PSK-ն կոդավորում է base64-ով, նախքան այն կհասնի ֆայլին, և թողարկման նշումները այդ կոդավորումը ներկայացնում են որպես պատճառ, թե ինչու կրկնակի չակերտն այժմ ընդունելի է բանալու մեջ։ Այսպիսով՝ դաշտում մուտքագրված չակերտը ներկայացնելի է, իսկ ամեն կառավարման նշանի դեպքում դա ճիշտ չէ։

Երկարությունը այլ սահմանափակում է։ L2TP/IPsec ծրագրաշարում ունիվերսալ նվազագույն չկա․ որոշ հաճախորդներ ընդունում են քսան նշանից կարճ բանալիներ, իսկ որոշ դարպասներ նվազագույն են պարտադրում։ Եթե կարճ բանալին մերժվում է, կանոնը պատկանում է սերվերի քաղաքականությանը կամ այդ հաճախորդի վավերացմանը, և տեղում ինչ-որ բան բարձրացնելը դա չի փոխի։

Կարդացեք, թե նույնականացման որ շերտը ձախողվեց

Սկզբում գործարկեք ipsec --version, որովհետև strongSwan-ը և Libreswan-ը տարբեր ֆայլանուններ ու շարահյուսություն են օգտագործում, և մեկի համար տրված խորհուրդը կարող է վնասել մյուսին։ Այնուհետև կարդացեք ձախողման փուլը հաճախորդի հաղորդագրությունից կամ դեմոնի մատյանից․ նախապես համօգտագործված բանալու բողոքն այլ իրադարձություն է, քան մերժված օգտանունն ու գաղտնաբառը։

PSK-ն նույնականացնում է թունելի ծայրակետերը։ Օգտանունն ու գաղտնաբառը նույնականացնում են L2TP-ի ներսում գտնվող մարդուն, և PPP-ն զբաղվում է դրանցով այն բանից հետո, երբ IPsec միավորումը բարձրացել է։ Ճիշտ PSK-ն սխալ հաշվի հետ դեռ ձախողվում է, և հաշիվը փոխելը չի վերացնի բանալու խնդիրը, որը դեմոնը երբեք ճիշտ չի կարդացել։

Երբ փակում եք տոմսը, գրեք բոլոր չորսը՝ հավելվածի տարբերակը, օգտագործվող գաղտնիքի ֆայլը, արդյոք բանալին նորից մուտքագրվել է թե տեղադրվել, և սխալում նշված շերտը։ Այդ դեպքում ով հետագայում կրկնի այս ուղին, կարող է անմիջապես անցնել աշխատող և ձախողվող մեքենաների տարբերությանը։