Satu galat, tiga rahasia: kredensial VPN mana yang gagal?
Klien menampilkan satu galat untuk setiap tahap. Baca asosiasi, pertukaran pengguna, dan metode sebelum mengatur ulang kata sandi yang tidak diperiksa siapa pun.
«Autentikasi gagal» dapat menunjuk ke sertifikat server, kunci yang dibagikan sebelumnya milik mesin, atau kata sandi pengguna. Yang mana yang dimaksud bergantung pada protokol, karena setiap protokol mendefinisikan kumpulan rahasia yang berbeda. Atur ulang yang salah dan galatnya tetap tidak berubah. Jalan keluarnya adalah menetapkan berapa banyak bukti yang dituntut protokol sebelum menyunting apa pun.
Dua bukti yang menunjuk ke arah berlawanan
Tunnel harus menjawab apakah ia mencapai gateway yang benar, dan secara terpisah siapa penggunanya. Bukti gateway berada di tingkat mesin: sertifikat server, kunci yang dibagikan sebelumnya, atau kunci publik statis. Bukti pengguna berada di tingkat orang: kata sandi, token, sertifikat klien, atau tidak sama sekali. Keduanya arah kepercayaan yang berlawanan dan memakai bahan yang berbeda.
IKEv2 melakukan bukti gateway di dalam IKE_AUTH dan, ketika EAP dipakai, menjalankan bukti pengguna setelahnya dalam pertukaran terpisah. spesifikasi IKEv2 menyimpannya sebagai bagian terpisah, yang merupakan petunjuk kuat tentang tempat mencarinya ketika satu pesan mencakup kedua putaran.
Baca tahapnya, bukan pesannya
Klien menampilkan satu string galat tak peduli tahap mana yang gagal, jadi string itu sendiri hampir tidak membawa informasi. Yang membawa informasi adalah keadaan yang dapat Anda periksa pada setiap tahap: apakah ada asosiasi, apakah pertukaran pengguna dimulai, dan apakah klien menawarkan metode yang diinginkan gateway. Tabel mengurutkan tahap-tahap dengan cara itu, bukan menurut nama protokol.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Hanya baris kedua yang menyangkut kredensial yang dapat diketik ulang pengguna. Tiga lainnya adalah fakta konfigurasi, dan ketidaksesuaian itulah sebabnya begitu banyak laporan seperti ini berakhir dengan pengaturan ulang kata sandi yang tidak mengubah apa pun. Baca baris yang cocok dengan bukti Anda sebelum menyentuh sebuah kolom.
Protokol dua rahasia menunjukkan kartunya
L2TP di atas IPsec membuat jumlahnya terlihat, karena kedua pemeriksaan terjadi dalam proses berbeda. Lapisan IPsec harus naik dulu dengan kunci yang dibagikan sebelumnya atau sertifikat, dan baru setelah itu PPP di dalamnya mencoba masuk sebagai pengguna.
Ketika rahasia mesin salah, tidak ada asosiasi yang terbentuk dan kredensial pengguna tidak pernah dicoba. Ketika rahasia mesin benar dan rahasia pengguna salah, asosiasinya ada dan PPP menolak masuk setelah tunnel sudah naik. Keduanya menghasilkan pesan yang sama di layar dari dua peristiwa berbeda.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerDaftar asosiasi yang kosong langsung menyingkirkan lapisan pengguna, jadi periksa itu sebelum kata sandi. Asosiasi yang terjalin dengan kegagalan PPP berulang menunjuk ke arah lain, ke lapisan pengguna atau ke protokol autentikasi di dalamnya. Tidak satu pun dari kedua kesimpulan itu tersedia dari teks galat klien.
Pada apa akses hanya-kata-sandi sebenarnya bergantung
Akses hanya-kata-sandi lumrah untuk L2TP, PPTP, SSTP, dan IKEv2 dengan EAP. WireGuard sama sekali tidak punya opsi seperti itu, karena rekan-rekannya adalah kunci, bukan pengguna. Untuk OpenVPN jawabannya datang dari syarat sertifikat klien di server: gateway yang menuntut sertifikat sekaligus kata sandi akan terus menolak klien hanya-kata-sandi, apa pun yang diketik di kolom itu.
Komponen mana yang Anda butuhkan mengikuti jawaban yang sama. Masuk dengan kata sandi di bawah IKEv2 menuntut klien yang berbicara EAP, sedangkan masuk dengan sertifikat membutuhkan kunci privat klien dan rantai server. Pasang yang salah dan kegagalannya terbaca seperti galat kredensial padahal metode autentikasinya sendiri yang hilang.
Ubah satu hal, lalu uji ulang
Tetapkan dulu tiga fakta: protokol mana yang berjalan, berapa rahasia yang didefinisikannya, dan mana di antaranya milik mesin dan bukan pengguna. Mesin gagal pada tahap pertama dan orang gagal pada tahap kedua, dan mencampuradukkan keduanya adalah seluruh masalah ini.
Lalu ubah tepat satu hal dan uji ulang dari klien yang sama. Disiplin itu mengubah kegagalan yang membingungkan menjadi perbaikan yang dapat Anda jelaskan kepada orang berikutnya, dan itu lebih berguna daripada koneksi yang berjalan yang tidak bisa dijelaskan siapa pun.