L2TP/IPsec bregst: einangraðu IPsec, gönguauðkenningu eða PPP-innskráningu

Þrír hlutir auðkenna sig innan einnar L2TP/IPsec-tengingar, og aðeins einn þeirra varðar manneskjuna sem hringir. IPsec sannar endapunkta göngunnar, L2TP-stýritengingin getur sannað jafningjana aftur með sínu eigin leyndarmáli, og PPP sannar síðan notandareikninginn innan lotunnar. Bilun á hvaða stigi sem er lítur út eins og almenn innskráningarvilla í glugga biðlarans og lítur allt öðruvísi út í annáli netþjónsins. Farðu í gegnum stigin í röð og stöðvaðu við það fyrsta sem bregst, því hvert stig fyrir neðan óprófað stig er líka óprófað.

Þrjú auðkenningarstig, þrjú ólík auðkenni

IPsec sannar hver á endapunktana, með fyrirfram deildum lykli eða skírteini. Það auðkenni tilheyrir vélum eða gáttum, aldrei manneskjunni við lyklaborðið. Þegar jafningjarnir ná ekki samkomulagi á þessu stigi er engum L2TP-pakka skipt á neinn hátt.

L2TP-stýritengingin getur bætt við annarri, aðskilinni áskorun-og-svari skiptingu sem stýrt er af sameiginlegu leyndarmáli sem báðir endar verða að hafa.

RFC 2661 gerir þá auðkenningu stýritengingarinnar valfrjálsa, sem útskýrir hvers vegna sama mistökin gefa ólík einkenni á tveimur netþjónum. Uppsetning sem hefur aldrei skilgreint gönguleyndarmál sleppir stiginu algjörlega; sú sem skilgreindi það aðeins á einni hlið bregst áður en PPP er boðið upp á. PPP auðkennir þá notandann með PAP, CHAP eða MSCHAPv2 og afhendir nafnið reikningsgeymslu sem getur verið staðbundin, í chap-secrets eða á RADIUS. Rangt lykilorð á þeim tímapunkti skilur þig samt eftir með virka göngu og misheppnaða lotu.

Lestu stöðvunarstaðinn áður en þú breytir stillingum

Byrjaðu á ipsec --version svo þú vitir hvort stöðuúttakið tilheyrir strongSwan eða Libreswan. Lestu síðan annál netþjónsins, ekki glugga biðlarans, því netþjónninn skráir hvaða stig neitaði.

Ein lína ræður yfirleitt málinu: kvörtun um IKE eða tillögur er fyrsta stig, skilaboð um stýritengingu eru annað stig og höfnun PPP-aðferðar eða reiknings er þriðja stig. Afritaðu þá línu í málið með tímastimplinum. Að giska frá hlið biðlarans eyðir einu sönnunargagninu sem þú hefur þegar.

Haltu lykilefni og lykilorðum utan við þá límingu; heiti stigsins stýrir vinnunni, og lekið fyrirfram deilt lykill opnar málið aftur með verri afleiðingum.

Fyrsta stig: hefur IPsec samtengingu?

Keyrðu ipsec statusall á strongSwan eða ipsec whack --status á Libreswan og leitaðu að uppsettri undirsamtengingu með teljurum sem eru ekki núll. ip xfrm state sýnir sýn kjarnans á báðum. Uppsett par af SA með hækkandi teljurum þýðir að fyrsta stigi er lokið og þú getur haldið áfram.

Algjört skortur á samtengingu bendir á vistfang jafningjans, tillögusafnið eða fyrirfram deilda lykilinn, og stundum á tæki sem endurskrifar UDP 500 en sleppir UDP 4500. Samtenging sem verður til og hverfur svo eftir nokkrar sekúndur er yfirleitt misræmi í líftíma milli endanna frekar en vandamál með skilríki. Athugaðu hvort báðar hliðar telji upp sömu dulkóðunar- og kjötungstillögur áður en þú slærð eitthvað inn aftur. Ef ekki mun enginn lykill nokkurn tíma virka.

Stöðvaðu meðan samtengingin vantar. Að breyta PPP-valkostum á þeim tímapunkti breytir engu og felur raunverulegu bilunina frá næstu manneskju.

Annað stig: auðkenndi L2TP-stýritengingin sig?

Þegar IPsec er komið upp skaltu fylgjast með L2TP-púkanum eftir stýritengingu sem nær uppsettu ástandi, því PPP getur ekki byrjað fyrr. Höfnun á stýritengingunni þýðir að gönguleyndarmálið er ólíkt milli endanna, eða að annar endinn krefst leyndarmáls sem hinn sendir aldrei. Biðlarar sýna oft eitt svæði merkt shared secret, og það tilheyrir yfirleitt IPsec frekar en L2TP. Að fylla það út stillir ekki gönguleyndarmálið, og að hreinsa það gerir það ekki óvirkt.

Ef hvorug hliðin hefur skilgreint gönguleyndarmál skaltu sleppa þessu stigi og meðhöndla bilun stýritengingarinnar sem aðgengisvandamál í staðinn. Staðfestu að UDP 1701 nái til púkans og að báðir endar séu sammála um sömu umslöðun. Eldveggjarregla sem skrifuð er fyrir annað þessara tveggja skilyrða er algeng orsök tengingar sem opnast hálf.

Aðeins lota sem byrjar að semja um PPP hefur í raun farið fram úr göngustiginu.

Þriðja stig: er PPP að hafna reikningnum?

Bilun PPP lítur öðruvísi út að utan: göngin eru uppsett, lotan byrjar og púkinn skráir bilun auðkenningaraðferðar eða höfnun reiknings. Lestu aðferðina sem nefnd er í þeim skilaboðum. PAP og CHAP bregðast af ólíkum ástæðum, og netþjónn sem hafnar annarri mun hafna biðlara sem býður aðeins þá.

Á Linux-netþjóni skaltu skoða valkostaskrána sem púkinn lætur PPP í té, yfirleitt /etc/ppp/options.xl2tpd, og staðfesta hvaða aðferðir eru samþykktar og hvar reikningar eru leystir. Nafn sem er til í RADIUS en ekki í staðbundnu leyndarmálaskránni bregst hreinlega og lítur út eins og rangt lykilorð. Athugaðu síðan að biðlarinn bjóði aðferð sem netþjónninn samþykkir, frekar en sterkari aðferð sem netþjónninn neitar að semja um. Að breyta fyrirfram deilda lyklinum til að laga þetta stig eyðir síðdegi og breytir engu.

Þegar lotan fer loks upp, úthlutun vistfanga, DNS og leiðir eru enn óathugaðar, og hvert þeirra bregst hljóðlega á sinn hátt. Haltu lögunum þremur aðskildum í athugasemdunum þínum: réttur lykill með röngum reikningi bregst alltaf, og að laga eitt lag lagar aldrei annað.