共有シークレットかユーザーログインか：L2TP/IPsec のどのフィールドが失敗したのか？

一つのオフィスがすべてのノート PC に同じ IPsec シークレットを配りながら各自が個別のアカウントでサインインしていても、「鍵は正しい」と「パスワードは正しい」が同時に真になってログインが失敗するのは、まさにそのためです。L2TP と IPsec は、異なる段階で異なる相手を認証します。二つの層を比べ、両者を分けるエラーコードを読むほうが、両方の値を入れ替え直すより速くほとんどのチケットを閉じられます。段階は互換ではなく、目の前のメッセージがすでにどちらが働いているかを告げています。

二つの層、二つの異なる身元

最初に IPsec のピア認証が走ります。クライアントとゲートウェイは、トンネルのペイロードが保護される前に、事前共有鍵または証明書で互いの身元を証明します。L2TP セッション内の PPP 交換はその後に走り、そこでユーザー名とパスワードがサーバーのアカウントストアと照合されます。

段階は独立しているので、有効なユーザーアカウントは間違った IPsec 鍵を救えない、正しい鍵も期限切れのパスワードを救えません。チケットには二つを分けて書き、診断はたいてい段階を示す最初のログ行から出ます。

共有シークレットがピアを証明する

事前共有鍵は、ゲートウェイとそこに接続するすべてのクライアントが持つグループ資格情報です。ピアが鍵を知っていることを確立し、そこから IKE が接続を保護する鍵を導出します。その交換のどこにも、キーボードの前の人間を特定する情報はありません。同じトンネルに二つ目のユーザーレベルのログインがある理由は、まさにこれです。

その設計には失効について実務的な帰結があります。ノート PC を一台失うと、それを使うすべての機器でシークレットをローテーションすることになりますが、展開が証明書に移行していれば、一台だけを他に触れずに外せます。引き換えになるのは、被害範囲に対する管理作業です。

プロファイルに入力する鍵は、スクリーンショットやチャットで最も漏れやすい資格情報でもあります。実際にそうなのですから、個人のパスワードではなく共有インフラの素材として扱ってください。

ログインは PPP に属する

L2TP セッションの内部で、PPP は認証を交渉し、入力した値の組をサーバーに検証させます。Windows ではプロファイルが求めるのと同じユーザー名とパスワードであり、ルーターでは PPP プロファイルが参照するものです。照合先はアカウントストアであり、鍵ではありません。二人がノート PC と鍵を共有していても、この段階では区別されます。

ユーザー認証なので、期限切れのパスワード、ロックされたアカウント、ダイヤルインの許可、ドメインを伴う必要のある名前といった通常のアカウントポリシーがすべて適用されます。エラー 691 はその組み合わせを拒否として報告するので、何かを入力し直す前にサーバーの会計記録を読んでください。

エラーにフィールドを選ばせる

エラー 789 はセキュリティ層を名指しし、IPsec の段階を指します。両側の事前共有鍵が完全に一致すること、ゲートウェイが期待するピア ID がクライアントの送るものと一致すること、クライアントが別の種類ではなく L2TP/IPsec 用に構成されていることを確認してください。

エラー 691 は資格情報を名指しし、PPP を指します。両方を同時に変えると読んでいた証拠が壊れるので、シークレットを変える前にアカウントの状態と名前の正確な形式を確認してください。

トンネルが上がっても通信が止まるなら、認証フィールドの編集は完全にやめてください。アドレスプール、クライアントサブネットへの戻り経路、MTU を見てください — 二つの層の比較が役立つのは、障害がまだその内側にある間だけです。