Ein villa, þrjú leyndarmál: hvaða VPN-auðkenni mistókst?
Biðlarinn sýnir eina villu fyrir hvert stig. Lestu samtengingu, notendaskiptin og aðferðina áður en þú endurstillir lykilorð sem enginn athugaði.
„Staðfesting mistókst“ getur bent á netþjónsvottorð, fyrirfram deildan lykil vélarinnar eða lykilorð notanda. Hvert þeirra á við fer eftir samskiptareglunni, þar sem hver samskiptaregla skilgreinir annað sett af leyndarmálum. Endurstilltu rangt og villan stendur óbreytt. Útvegurinn er að ákvarða fyrst hversu mörg sönnunargögn reglan krefst áður en nokkuð er breytt.
Tvö sönnunargögn sem vísa í gagnstæðar áttir
Göngin verða að svara því hvort þau náðu réttu hliðinu og, aðskilið, hver notandinn er. Sönnunargagn hliðsins er á vélarstigi: netþjónsvottorð, fyrirfram deildur lykill eða kyrrstæður opinber lykill. Sönnunargagn notandans er á manneskjusstigi: lykilorð, tákn, biðlaravottorð eða ekkert. Þetta eru gagnstæðar áttir trausts og þau eyða mismunandi efni.
IKEv2 framkvæmir sönnunargagn hliðsins innan IKE_AUTH og, þegar EAP er notað, keyrir síðan sönnunargagn notandans í aðskildum skiptum. forskrift IKEv2 heldur þeim sem aðskildum köflum, sem er sterkt vísbending um hvar á að leita þegar ein skilaboð ná yfir báðar umferðir.
Lestu stigið, ekki skilaboðin
Biðlarinn sýnir eina villustrengju óháð því hvaða stig mistókst, svo strengjan sjálf ber nánast engar upplýsingar. Það sem ber upplýsingar er ástandið sem þú getur skoðað á hverju stigi: hvort samtenging er til, hvort notendaskipti hófust og hvort biðlarinn bauð aðferðina sem hliðið vildi. Taflan raðar stigunum þannig en ekki eftir nafni samskiptareglunnar.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Aðeins önnur röðin snýst um auðkenni sem notandi getur slegið aftur inn. Hinar þrjár eru staðreyndir um uppsetningu, og það misræmi er ástæðan fyrir því að svo margar af þessum skýrslum enda með endurstillingu lykilorðs sem breytir engu. Lestu röðina sem passar við sönnunargagn þín áður en þú snertir reit.
Samskiptaregla með tvö leyndarmál sýnir spilin
L2TP yfir IPsec gerir fjöldann sýnilegan, því báðar athuganirnar eiga sér stað í mismunandi ferlum. IPsec-lagið verður fyrst að rísa með fyrirfram deildum lykli eða vottorði, og aðeins þá reynir PPP inni í því notendainnskráningu.
Þegar leyndarmál vélarinnar er rangt myndast engin samtenging og auðkenni notandans eru aldrei prófuð. Þegar leyndarmál vélarinnar er rétt og leyndarmál notandans rangt er samtengingin til og PPP hafnar innskráningunni eftir að göngin eru þegar komin upp. Bæði gefa sömu skilaboðin á skjánum frá tveimur ólíkum atburðum.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerTómur listi yfir samtengingar útilokar notendalagið strax, svo athugaðu hann fyrir lykilorðið. Uppsett samtenging með endurteknum PPP-mistökum vísar í hina áttina, að notendalaginu eða staðfestingarreglunni inni í því. Hvorug niðurstöðurnar eru fáanlegar úr villutexta biðlarans.
Af hverju innskráning með aðeins lykilorði er í raun háð
Aðgangur með aðeins lykilorði er venjulegur fyrir L2TP, PPTP, SSTP og IKEv2 með EAP. WireGuard hefur alls ekki slíkan valkost, því mótaðilar þess eru lyklar en ekki notendur. Fyrir OpenVPN kemur svarið frá kröfu netþjónsins um biðlaravottorð: hlið sem krefst bæði vottorðs og lykilorðs mun halda áfram að hafna biðlara með aðeins lykilorði, hvað sem slegið er í reitinn.
Hvaða einingu þú þarft fylgir sama svari. Innskráning með lykilorði undir IKEv2 krefst biðlara sem talar EAP, en innskráning með vottorði þarf einkalykil biðlarans og keðju netþjónsins. Settu upp þá röngu og mistökin lesast sem villa í auðkennum þótt staðfestingaraðferðin sjálf sé það sem vantar.
Breyttu einu atriði og prófaðu svo aftur
Ákvarðaðu fyrst þrjár staðreyndir: hvaða samskiptaregla er í gangi, hversu mörg leyndarmál hún skilgreinir og hver þeirra tilheyra vélinni en ekki notandanum. Vélar mistakast á fyrsta stigi og menn á öðru, og að rugla þessu tvennu saman er allt þetta vandamál.
Breyttu síðan nákvæmlega einu atriði og prófaðu aftur frá sama biðlara. Sú agi gerir ruglingsleg mistök að lagfæringu sem þú getur lýst fyrir næstu manneskju, og það er gagnlegra en virk tenging sem enginn getur útskýrt.