Secret Bersama atau Login Pengguna: Field L2TP/IPsec Mana yang Gagal?
Kunci yang dibagikan sebelumnya membuktikan rekan, sedangkan nama pengguna dan kata sandi PPP membuktikan orangnya. Kode kesalahan memberi tahu lapisan mana yang rusak.
Satu kantor dapat memberikan rahasia IPsec yang sama ke setiap laptop sementara setiap orang tetap masuk dengan akun masing-masing, dan itulah sebabnya «kuncinya benar» dan «kata sandinya benar» bisa sama-sama benar tetapi login tetap gagal. L2TP dan IPsec mengautentikasi pihak yang berbeda pada tahap yang berbeda. Perbandingan kedua lapisan, dan kode kesalahan yang memisahkannya, menutup sebagian besar tiket ini lebih cepat daripada menukar kedua nilai lagi. Tahapannya tidak dapat dipertukarkan, dan pesan di depan Anda sudah mengatakan mana yang sedang berlaku.
Dua lapisan, dua identitas berbeda
Autentikasi rekan IPsec berjalan lebih dulu. Klien dan gateway saling membuktikan siapa mereka, menggunakan kunci yang dibagikan sebelumnya atau sertifikat, sebelum muatan tunnel mana pun dilindungi. Pertukaran PPP di dalam sesi L2TP berjalan setelahnya, dan di situlah nama pengguna dan kata sandi Anda diperiksa terhadap penyimpanan akun server.
Tahapannya independen, jadi akun pengguna yang valid tidak dapat menyelamatkan kunci IPsec yang salah, dan kunci yang benar tidak dapat menyelamatkan kata sandi yang kedaluwarsa. Tuliskan keduanya secara terpisah di tiket dan diagnosis biasanya keluar dari baris log pertama yang menyebutkan sebuah tahap.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Rahasia bersama membuktikan rekan
Kunci yang dibagikan sebelumnya adalah kredensial grup yang dipegang gateway dan setiap klien yang terhubung padanya. Kunci itu menetapkan bahwa rekan mengetahui kuncinya, dan darinya IKE menurunkan kunci yang melindungi koneksi. Tidak ada apa pun dalam pertukaran itu yang mengidentifikasi manusia di keyboard. Itulah alasan adanya login kedua di tingkat pengguna di dalam tunnel yang sama.
Rancangan itu punya konsekuensi praktis untuk pencabutan. Kehilangan satu laptop berarti merotasi rahasia untuk setiap perangkat yang memakainya, kecuali penerapan beralih ke sertifikat, di mana satu perangkat dapat dihapus tanpa menyentuh yang lain. Tukarnya adalah upaya administratif melawan luas dampak.
Kunci yang diketik ke dalam profil juga merupakan kredensial yang paling mudah bocor melalui tangkapan layar dan obrolan. Perlakukan itu sebagai materi infrastruktur bersama, bukan sebagai kata sandi pribadi, karena memang itulah adanya.
Login adalah milik PPP
Di dalam sesi L2TP, PPP menegosiasikan autentikasi dan meminta server memverifikasi pasangan nilai yang Anda ketikkan. Di Windows itu adalah nama pengguna dan kata sandi yang sama dengan yang diminta profil, dan di router itu adalah apa yang dirujuk profil PPP. Itu diperiksa terhadap penyimpanan akun, bukan terhadap kunci. Dua orang dapat berbagi laptop dan kunci dan tetap dibedakan pada tahap ini.
Karena ini autentikasi pengguna, semua kebijakan akun yang biasa berlaku: kata sandi kedaluwarsa, akun terkunci, izin dial-in, atau nama yang harus membawa domain. Kesalahan 691 melaporkan kombinasi itu sebagai ditolak, jadi baca catatan akuntansi server sebelum mengetik ulang apa pun.
Biarkan kesalahan memilih field
Kesalahan 789 menyebutkan lapisan keamanan dan menunjuk ke tahap IPsec. Pastikan kunci yang dibagikan sebelumnya di kedua sisi sama persis, bahwa identitas rekan yang diharapkan gateway cocok dengan yang dikirim klien, dan bahwa klien dikonfigurasi untuk L2TP/IPsec dan bukan jenis lain.
Kesalahan 691 menyebutkan kredensial dan menunjuk ke PPP. Periksa status akun dan format nama yang tepat sebelum mengubah rahasia, karena mengubah keduanya sekaligus menghancurkan bukti yang sedang Anda baca.
Saat tunnel naik dan lalu lintas tetap berhenti, berhentilah mengedit field autentikasi sepenuhnya. Lihat kumpulan alamat, rute kembali ke subnet klien, dan MTU: perbandingan kedua lapisan hanya membantu selama kegagalan masih di dalamnya.