Segreto condiviso o accesso utente: quale campo di L2TP/IPsec ha fallito?
Una chiave precondivisa dimostra il peer, mentre nome utente e password PPP dimostrano la persona. Il codice di errore dice quale dei due livelli si è rotto.
Un ufficio può distribuire lo stesso segreto IPsec a tutti i portatili mentre ogni persona accede con un account individuale, ed è per questo che «la chiave è giusta» e «la password è giusta» possono essere entrambe vere e l’accesso fallire comunque. L2TP e IPsec autenticano parti diverse in fasi diverse. Il confronto dei due livelli, e il codice di errore che li separa, chiudono la maggior parte di questi ticket più in fretta di un altro scambio di entrambi i valori. Le fasi non sono intercambiabili, e il messaggio davanti a voi dice già quale è in gioco.
Due livelli, due identità diverse
L’autenticazione del peer IPsec viene eseguita per prima. Il client e il gateway dimostrano reciprocamente chi sono, con una chiave precondivisa o un certificato, prima che qualsiasi payload del tunnel venga protetto. Lo scambio PPP dentro la sessione L2TP viene dopo, ed è lì che il nome utente e la password vengono verificati contro l’archivio degli account del server.
Le fasi sono indipendenti, quindi un account utente valido non può salvare una chiave IPsec errata, e una chiave corretta non può salvare una password scaduta. Scrivete i due elementi separatamente nel ticket e la diagnosi di solito esce dalla prima riga di log che nomina una fase.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Il segreto condiviso dimostra il peer
Una chiave precondivisa è una credenziale di gruppo posseduta dal gateway e da ogni client che vi si connette. Stabilisce che il peer conosce la chiave, e da essa IKE deriva le chiavi che proteggono la connessione. Nulla in quello scambio identifica la persona alla tastiera. È esattamente per questo che esiste un secondo accesso, a livello utente, nello stesso tunnel.
Quel progetto ha una conseguenza pratica per la revoca. Perdere un portatile significa ruotare il segreto per ogni dispositivo che lo usa, a meno che il deployment non passi ai certificati, dove un singolo dispositivo può essere rimosso senza toccare gli altri. Lo scambio è sforzo amministrativo contro l’ampiezza del danno.
Una chiave digitata in un profilo è anche la credenziale più facile da divulgare tramite screenshot e chat. Trattatela come materiale infrastrutturale condiviso e non come password personale, perché è esattamente questo.
L’accesso appartiene a PPP
All’interno della sessione L2TP, PPP negozia l’autenticazione e chiede al server di verificare la coppia di valori digitata. In Windows sono lo stesso nome utente e la stessa password richiesti dal profilo, e su un router è ciò a cui fa riferimento il profilo PPP. La verifica avviene contro l’archivio degli account, non contro la chiave. Due persone possono condividere un portatile e una chiave ed essere comunque distinte in questa fase.
Poiché è autenticazione utente, si applicano tutte le consuete policy degli account: password scaduta, account bloccato, autorizzazione all’accesso remoto o un nome che deve portare un dominio. L’errore 691 segnala quella combinazione come rifiutata, quindi leggete il registro contabile del server prima di ridigitare qualsiasi cosa.
Lasciate che l’errore scelga il campo
L’errore 789 nomina il livello di sicurezza e punta alla fase IPsec. Confermate che la chiave precondivisa su entrambi i lati coincide esattamente, che l’identità del peer attesa dal gateway corrisponde a ciò che il client invia, e che il client è configurato per L2TP/IPsec e non per un altro tipo.
L’errore 691 nomina le credenziali e punta a PPP. Controllate lo stato dell’account e il formato esatto del nome prima di cambiare il segreto, perché cambiare entrambi insieme distrugge la prova che stavate leggendo.
Quando il tunnel si alza e il traffico si ferma ancora, smettete del tutto di modificare i campi di autenticazione. Guardate il pool di indirizzi, la rotta di ritorno verso la sottorete del client e la MTU: il confronto dei due livelli aiuta solo finché il guasto è ancora al loro interno.