Մեկ սխալ, երեք գաղտնիք. ո՞ր VPN հավատարմագիրն է ձախողվել։
Հաճախորդը յուրաքանչյուր փուլի համար ցույց է տալիս մեկ սխալ։ Նախքան գաղտնաբառի վերակայումը, որը ոչ ոք չի ստուգել, կարդացեք ասոցիացիան, օգտվողի փոխանակումը և մեթոդը։
«Նույնականացումը ձախողվեց»-ը կարող է մատնանշել սերվերի վկայագիր, մեքենայի նախապես համօգտագործված բանալի կամ օգտվողի գաղտնաբառ։ Թե որն է նկատի առնվում, կախված է արձանագրությունից, քանի որ յուրաքանչյուր արձանագրություն սահմանում է գաղտնիքների այլ շարք։ Եթե վերակայեք սխալ գաղտնիքը, սխալը կմնա անփոփոխ։ Ելքը նրանում է, որ նախ պարզեք, թե արձանագրությունը քանի ապացույց է պահանջում, և միայն հետո ինչ-որ բան խմբագրեք։
Երկու ապացույց՝ ուղղված հակառակ ուղղություններով
Թունելը պետք է պատասխանի՝ արդյոք հասել է ճիշտ դարպասին, և առանձին՝ ով է օգտվողը։ Դարպասի ապացույցը մեքենայի մակարդակի է՝ սերվերի վկայագիր, նախապես համօգտագործված բանալի կամ ստատիկ հանրային բանալի։ Օգտվողի ապացույցը անձի մակարդակի է՝ գաղտնաբառ, նշան, հաճախորդի վկայագիր կամ ընդհանրապես ոչինչ։ Դրանք վստահության հակառակ ուղղություններ են և սպառում են տարբեր նյութ։
IKEv2-ը դարպասի ապացույցը կատարում է IKE_AUTH-ի ներսում, իսկ երբ օգտագործվում է EAP, դրանից հետո օգտվողի ապացույցն անցկացնում է առանձին փոխանակման մեջ։ IKEv2 բնութագրությունը դրանք պահում է առանձին բաժիններով, ինչը ուժեղ ակնարկ է այն մասին, թե որտեղ նայել, երբ մեկ հաղորդագրությունը ծածկում է երկու փուլերը։
Կարդացեք փուլը, ոչ թե հաղորդագրությունը
Հաճախորդը ցույց է տալիս մեկ սխալի տող՝ անկախ նրանից, թե որ փուլն է ձախողվել, ուստի տողն ինքնին գրեթե տեղեկություն չի կրում։ Տեղեկություն կրում է այն վիճակը, որը կարող եք ստուգել յուրաքանչյուր փուլում՝ կա՞ ասոցիացիա, սկսվե՞լ է օգտվողի փոխանակում, և արդյոք հաճախորդը առաջարկել է այն մեթոդը, որը ցանկանում էր դարպասը։ Աղյուսակը փուլերը դասավորում է հենց այդպես, ոչ թե արձանագրության անունով։
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Միայն երկրորդ տողն է վերաբերում հավատարմագրի, որը օգտվողը կարող է նորից մուտքագրել։ Մյուս երեքը կազմաձևման փաստեր են, և հենց այդ անհամապատասխանությունն է պատճառը, թե ինչու են այս զեկույցներից շատերն ավարտվում գաղտնաբառի վերակայմամբ, որը ոչինչ չի փոխում։ Նախքան որևէ դաշտի դիպչելը կարդացեք այն տողը, որը համապատասխանում է ձեր ապացույցին։
Երկու գաղտնիքով արձանագրությունը ցույց է տալիս իր քարտերը
L2TP IPsec-ի վրա դարձնում է հաշվարկը տեսանելի, քանի որ երկու ստուգումները տեղի են ունենում տարբեր պրոցեսներում։ IPsec շերտը նախ պետք է բարձրանա նախապես համօգտագործված բանալիով կամ վկայագրով, և միայն դրանից հետո դրա ներսում գտնվող PPP-ն փորձում է օգտվողի մուտք։
Երբ մեքենայի գաղտնիքը սխալ է, ասոցիացիա չի ձևավորվում և օգտվողի հավատարմագիրը երբեք չի փորձվում։ Երբ մեքենայի գաղտնիքը ճիշտ է, իսկ օգտվողի գաղտնիքը՝ սխալ, ասոցիացիան գոյություն ունի, և PPP-ն մերժում է մուտքը այն բանից հետո, երբ թունելն արդեն բարձրացել է։ Երկուսն էլ էկրանին տալիս են նույն հաղորդագրությունը՝ երկու տարբեր իրադարձություններից։
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerԴատարկ ասոցիացիաների ցանկը անմիջապես բացառում է օգտվողի շերտը, ուստի ստուգեք այն գաղտնաբառից առաջ։ Հաստատված ասոցիացիան՝ կրկնվող PPP ձախողումներով, մատնանշում է հակառակ ուղղությունը՝ օգտվողի շերտը կամ դրա ներսում գտնվող նույնականացման արձանագրությունը։ Երկու եզրակացություններից ոչ մեկը հասանելի չէ հաճախորդի սխալի տեքստից։
Ինչից է իրականում կախված միայն գաղտնաբառով մուտքը
Միայն գաղտնաբառով մուտքը սովորական է L2TP-ի, PPTP-ի, SSTP-ի և EAP-ով IKEv2-ի համար։ WireGuard-ը ընդհանրապես նման տարբերակ չունի, քանի որ նրա զուգընկերները բանալիներ են, ոչ թե օգտվողներ։ OpenVPN-ի համար պատասխանը գալիս է սերվերի հաճախորդի վկայագրի պահանջից. դարպասը, որը պահանջում է և՛ վկայագիր, և՛ գաղտնաբառ, շարունակելու է մերժել միայն գաղտնաբառով հաճախորդին՝ ինչ էլ մուտքագրվի դաշտում։
Թե որ բաղադրիչն է ձեզ պետք, հետևում է նույն պատասխանից։ IKEv2-ի ներքո գաղտնաբառով մուտքը պահանջում է հաճախորդ, որը խոսում է EAP, մինչդեռ վկայագրով մուտքը պահանջում է հաճախորդի մասնավոր բանալին և սերվերի շղթան։ Տեղադրեք սխալը, և ձախողումը կկարդացվի որպես հավատարմագրի սխալ, թեև բացակայում է հենց նույնականացման մեթոդը։
Փոխեք մեկ բան, ապա նորից ստուգեք
Նախ հաստատեք երեք փաստ՝ որ արձանագրությունն է աշխատում, քանի գաղտնիք է սահմանում և դրանցից որոնք են պատկանում մեքենային, ոչ թե օգտվողին։ Մեքենաները ձախողվում են առաջին փուլում, իսկ մարդիկ՝ երկրորդում, և այս երկուսը շփոթելը հենց այս ամբողջ խնդիրն է։
Այնուհետև փոխեք ուղիղ մեկ բան և նորից ստուգեք նույն հաճախորդից։ Այդ կարգապահությունը շփոթեցնող ձախողումը դարձնում է ուղղում, որը կարող եք նկարագրել հաջորդ մարդուն, և դա ավելի օգտակար է, քան աշխատող կապը, որը ոչ ոք չի կարող բացատրել։