L2TP/IPsec PSK hafnað: farðu fyrst í gegnum gluggann, svo skrárnar

Þú límir fyrirfram deildan lykilinn úr skilaboðum stjórnandans í glugga NetworkManager, hakar í reitinn til að sýna hann, og hann passar staf fyrir staf. Tengingin endar samt í auðkenningarvillu áður en göngin rísa. Þegar ég sá þetta í fyrsta skipti reiknaði ég með að lykillinn væri rangur; hann var það ekki. Tvær aðrar hlutir ráða því hvað púkinn les í raun: leyndarskráin sem viðbótin skrifar fyrir þá tengingu, og hvort gildið fór í gegnum gluggann óbreytt.

Ferillinn hér að neðan fylgir lyklinum frá reitnum að skránni, og þessi röð er það sem segir þér hvar hann týndist. Gerðu þetta á vélinni sem bregst, ekki á þeirri sem virkar, því munurinn á þessum tveimur vélum er venjulega uppsetning skránna en ekki lykillinn.

Byrjaðu í glugganum, en treystu reitnum ekki

Opnaðu IPsec-flipa tengingarinnar og skrifaðu lykilinn aftur í stað þess að líma hann. Lykill sem er afritaður úr spjallskilaboðum, PDF eða lykilorðastjóra getur komið með línubroti aftast sem reiturinn sýnir ekki, og sýnilegu stafirnir líta samt rétt út.

Smelltu á stýringuna sem sýnir lykilorðið og skoðaðu endann á strengnum, ekki miðjuna. Ef bendillinn skilur eftir auða línu undir textanum skaltu eyða henni og skrifa síðasta stafinn aftur. Þessi eina lagfæring leysir ótrúlegan hluta slíkra tilkynninga og kostar minna en að lesa hvaða log sem er.

Ef lykillinn kemur úr miðakerfi sem brýtur langar línur skaltu biðja um hann um rás sem brýtur þær ekki. Berðu saman lengdirnar við stjórnandann í stað þess að horfa á tvo strengi hlið við hlið; stafur sem týnist á brotpunkti er ósýnilegur í hlutfallslegu letri.

Fylgdu lyklinum inn í /etc/ipsec.d

Viðbótin afhendir PSK aldrei púkinum í IPsec sem rök á skipanalínu. Í staðinn geymir hún gildið í leyndarskrá og sér til þess að púkinn taki skrána inn, með því að bæta include-línu við /etc/ipsec.secrets ef engin er til. Það sem glugginn heldur er inntak fyrir þá mynduðu skrá, ekki gildið sem er í notkun.

Listaðu það sem er til staðar áður en þú breytir einhverju:

ipsec --version
sudo ls -l /etc/ipsec.d/*.secrets /etc/ipsec.d/ipsec.nm-l2tp.secrets 2>/dev/null
sudo grep -n "include" /etc/ipsec.secrets

Eldri útgáfur viðbótarinnar skrifuðu eina skrá fyrir hverja tengingu, nefnda eftir UUID tengingarinnar, til dæmis /etc/ipsec.d/nm-l2tp-ipsec-<uuid>.secrets. Að eyða sniði í smáforritinu eyðir þeirri skrá ekki áreiðanlega. Ef gömul skrá frá fyrri netþjóni er enn á diskinum og enn innifalin getur púkinn valið leyndarmál sem tilheyrir sniði sem þú notar ekki lengur, og tengingin bregst þótt sýnilegi reiturinn sé réttur.

Skildu hvað breytingin í 1.2.12 gerði við uppfærslur

Útgáfa 1.2.12 viðbótarinnar skipti út leyndarskrám fyrir hverja tengingu fyrir einni sameiginlegri skrá, /etc/ipsec.d/ipsec.nm-l2tp.secrets. Uppfærsla hreinsar ekki eldri skrárnar eftir UUID, og fyrirliggjandi lína include /etc/ipsec.d/*.secrets tekur þær enn inn. Útgáfa 1.2.16 breytti meðferð sjálfgefinna tillagna, ekki uppsetningu leyndarmálanna.

Þessi saga útskýrir hvers vegna tvær vélar með það sem lítur út eins út fara mismunandi. Lykillinn er sá sami; safn skránna sem púkinn tekur inn er það ekki. Þegar þú fjarlægir munaðarlausa skrá skaltu færa hana til hliðar í stað þess að eyða henni, staðfesta tenginguna og eyða henni svo þegar virka ástandið er skráð. Endurnefning heldur gamla gildinu endurheimtanlegu ef í ljós kemur að gallinn er annars staðar.

Aðskildu stafina sem geymslusniðið getur ekki haldið

Skjöl strongSwan um sameiginlega leyndarmálsstrenginn segja að gildið megi ekki innihalda línubrot eða tvígilda gæsalapparstaf. Lykill sem límdur er úr skjali getur borið hvort sem er án nokkurs sýnilegs munar í venjulegum glugga.

Frá 1.2.12 er geymda gildið ekki látlaus texti. Viðbótin kóðar PSK með base64 áður en það nær skránni, og útgáfuskýringar setja þá kóðun fram sem ástæðuna fyrir því að tvígild gæsalöpp er nú ásættanleg í lykli. Gæsalöpp sem slegin er í reitinn er því framsetanleg; sama gildir ekki um hvern stýristaf.

Lengdin er önnur takmörkun. Ekkert almennt lágmark gildir um L2TP/IPsec-hugbúnað: sumir biðlarar samþykkja lykla styttri en tuttugu stafi og sum hlið setja lágmark. Ef stuttum lykli er hafnað tilheyrir reglan stefnu netþjónsins eða staðfestingu þess biðlara, og að hækka eitthvað á staðnum mun ekki breyta því.

Lestu hvaða auðkenningarlag brást

Keyrðu ipsec --version fyrst, því strongSwan og Libreswan nota mismunandi skráaheiti og setningafræði, og ráð fyrir annað getur skaðað hitt. Lestu svo bilunarskeiðið úr skilaboðum biðlarans eða logi púkans: kvörtun um fyrirfram deildan lykil er annar atburður en hafnað notandanafn og lykilorð.

PSK auðkennir enda ganganna. Notandanafnið og lykilorðið auðkenna manneskjuna inni í L2TP, og PPP sér um þau eftir að IPsec-samtengingin rís. Réttur PSK með röngum reikningi bregst samt, og að skipta um reikning lagar ekki lykil sem púkinn las aldrei rétt.

Þegar þú lokar miðanum skaltu skrifa niður öll fjögur: útgáfu viðbótarinnar, leyndarskrána sem er í notkun, hvort lykillinn var endursleginn eða límdur, og lagið sem nefnt er í villunni. Þá getur hver sem endurtekur þennan feril síðar stokkið beint að muninum á virku og biluðu vélinni.