Pertukaran IKEv2 berhasil, lalu autentikasi gagal: di mana mencarinya

Klien yang menerima respons IKEv2 telah membuktikan bahwa gateway dapat dijangkau, bahwa kedua pihak dapat menegosiasikan proposal, dan bahwa pertukaran kunci awal selesai. Klien itu belum membuktikan bahwa siapa pun terautentikasi. Pertukaran berikutnya membawa identitas, sertifikat, atau EAP, dan di situlah koneksi biasanya berhenti. Membaca pemeriksaan mana yang gagal adalah keseluruhan diagnosisnya, dan pesan kesalahan saja jarang mengatakannya.

Pemeriksaan 1: baca tahapnya, bukan pesannya

Penolakan dapat datang dari tiga tempat: klien menolak identitas server, gateway menolak bukti klien, dan layanan autentikasi eksternal menolak akun.

Masing-masing menghasilkan baris log berbeda di mesin berbeda, dan masing-masing punya perbaikan berbeda. Penolakan sertifikat server di sisi klien adalah masalah kepercayaan atau penamaan pada klien; penolakan sertifikat klien di sisi gateway adalah masalah kepercayaan pada gateway; kegagalan EAP adalah masalah akun atau backend. Pesan yang Anda lihat biasanya ringkasan klien atas salah satunya, itulah sebabnya log gateway sama pentingnya dengan log klien.

Pemeriksaan 2: identitas mana yang diperiksa

Klien dapat menolak sertifikat server atau identitas yang diharapkannya sebelum kredensial pengguna apa pun ditawarkan, dan alamat server yang berfungsi bukan pengganti pemeriksaan itu. Pengenal yang diharapkan klien harus cocok dengan yang disajikan gateway, yang merupakan fakta konfigurasi dan bukan fakta jaringan.

Dalam istilah strongSwan itu adalah rightid pada klien dan identitas gateway sendiri di sisi lain, dan ketidakcocokan gagal bahkan sebelum EAP dibahas.

Gateway, secara terpisah, dapat menolak sertifikat klien, bukti kuncinya, atau autentikasi akunnya, dan ketiganya tidak dapat dipertukarkan. Mengatur ulang kata sandi pengguna tidak memperbarui sertifikat perangkat, dan memasang ulang sertifikat perangkat tidak memperbaiki identitas server yang salah. Untuk kegagalan sertifikat, periksa jam lebih dulu, lalu rantai kepercayaan, lalu pengenal yang diharapkan; klien yang jamnya meleset beberapa menit gagal dalam pemeriksaan validitas yang tampak seperti kegagalan kepercayaan. swanctl --list-certs di kedua ujung menunjukkan apa yang benar-benar dipegang masing-masing pihak.

Pemeriksaan 3: jika EAP terlibat

Klien dan server harus menyetujui metode yang didukung, dan backend harus menerima identitas yang diberikan.

Nama pengguna mungkin memerlukan akhiran domain atau format akun tertentu yang diwajibkan oleh penerapan, dan formatnya terdokumentasi, bukan bisa ditebak. Memberikan kolom terdokumentasi dari operator lebih cepat daripada mencoba variasi, dan itu menghindari masalah kedua: percobaan berulang dapat memicu penguncian akun, yang kemudian menyembunyikan tahap asli di balik kegagalan baru. Jika metodenya EAP-MSCHAPv2 terhadap direktori, kegagalannya mungkin milik direktori dan bukan VPN sama sekali.

Jangan menguji masalah identitas dengan menonaktifkan pemeriksaan identitas. Itu mengubah kegagalan yang dapat didiagnosis menjadi tidak dapat didiagnosis dan meninggalkan koneksi lebih lemah daripada sebelumnya.

Pemeriksaan 4: apa yang terjadi setelah login berhasil

Setelah IKE_AUTH selesai, negosiasi CHILD_SA menentukan pemilih lalu lintas mana yang dipasang, dan di situlah koneksi dapat berhasil namun tidak meneruskan apa pun.

Login yang baru berfungsi sering mengungkap masalah pemilih atau rute yang sebelumnya tersembunyi di balik kegagalan autentikasi. Jika tunnel naik dan aplikasi tetap tidak mencapai tujuannya, lihat pemilih dan rute yang dinegosiasikan, bukan identitas lagi. Mengubah pengaturan identitas pada titik itu membidik tahap yang salah dan biasanya merusak login yang berfungsi. Konfirmasikan dengan swanctl --list-sas, yang menunjukkan anak dan pemilihnya terpisah dari IKE SA.

Pemeriksaan 5: apa yang diserahkan ke dukungan

Lini masa yang dibersihkan dan penolakan yang tepat lebih berharga daripada ekspor diagnostik lengkap, dan ekspor itu mungkin berisi kunci privat atau kredensial yang tidak boleh Anda bagikan.

Catat waktu dengan zona waktu, versi klien dan gateway, metode, string identitas yang ditawarkan dan bukan kata sandinya, serta tahap persis yang menolaknya. dokumentasi konfigurasi IKEv2 strongSwan menjelaskan pengaturan identitas dan EAP yang menentukan hasil ini, dan itulah referensi yang harus dibaca sebelum mengubah sebuah kolom. Lalu ubah satu hal dan uji ulang koneksi baru, karena sesi yang di-cache akan memberi tahu Anda tentang konfigurasi lama.