L2TP/IPsec-ის PSK უარყოფილია: ჯერ დიალოგი, შემდეგ ფაილები

თქვენ ჩასვამთ წინასწარ გაზიარებულ გასაღებს ადმინისტრატორის შეტყობინებიდან NetworkManager-ის დიალოგში, ამოწმებთ ჩვენების უჯრას და ის სიმბოლო-სიმბოლოდ ემთხვევა. კავშირი მაინც მთავრდება ავთენტიფიკაციის შეცდომით, სანამ გვირაბი ამოვა. პირველად რომ ვნახე, ვიფიქრე, გასაღები არასწორია; ასე არ იყო. კიდევ ორი რამ წყვეტს, თუ რას კითხულობს დემონი სინამდვილეში: საიდუმლო ფაილი, რომელსაც დანამატი ამ კავშირისთვის წერს, და ის, გადავიდა თუ არა მნიშვნელობა დიალოგში უცვლელად.

ქვემოთ მოცემული გზა მიჰყვება გასაღებს ველიდან ფაილამდე და სწორედ ეს რიგი გეუბნებათ, სად დაიკარგა. გააკეთეთ ეს იმ მანქანაზე, რომელიც ფეილდება და არა იმაზე, რომელიც მუშაობს, რადგან ამ ორ მანქანას შორის განსხვავება ჩვეულებრივ ფაილების განლაგებაა და არა გასაღები.

დაიწყეთ დიალოგიდან, მაგრამ ნუ ენდობით ველს

გახსენით კავშირის IPsec ჩანართი და გასაღები ხელახლა აკრიფეთ ჩასმის ნაცვლად. ჩატის შეტყობინებიდან, PDF-იდან ან პაროლების მენეჯერიდან კოპირებულ გასაღებს შეიძლება ბოლოში ჰქონდეს სტრიქონის გადატანა, რომელსაც ველი არ აჩვენებს, და ხილული სიმბოლოები მაინც სწორად გამოიყურება.

დააწკაპეთ პაროლის ჩვენების ღილაკს და შეხედეთ სტრიქონის ბოლოს და არა შუას. თუ კურსორი ტექსტის ქვემოთ ცარიელ ხაზს ტოვებს, წაშალეთ ის და ხელახლა აკრიფეთ ბოლო სიმბოლო. სწორედ ეს ერთი შესწორება წყვეტს ასეთი შეტყობინებების გასაოცარ ნაწილს და ნაკლები ღირს, ვიდრე რომელიმე ლოგის წაკითხვა.

თუ გასაღები მოდის ბილეთების სისტემიდან, რომელიც გრძელ ხაზებს ყოფს, მოითხოვეთ ის იმ არხით, რომელიც არ ყოფს. შეადარეთ სიგრძეები ადმინისტრატორს და ნუ შეხედავთ ორ სტრიქონს გვერდიგვერდ; გაყოფის ადგილას დაკარგული სიმბოლო შეუმჩნეველია პროპორციულ შრიფტში.

მიჰყევით გასაღებს /etc/ipsec.d-ის შიგნით

დანამატი არასდროს გადასცემს PSK-ს IPsec-ის დემონს როგორც არგუმენტს ბრძანების სტრიქონზე. სამაგიეროდ ის ინახავს მნიშვნელობას საიდუმლო ფაილში და აწყობს ისე, რომ დემონმა ეს ფაილი შეიყვანოს, include სტრიქონის დამატებით /etc/ipsec.secrets-ში, თუ ის არ არსებობს. რასაც დიალოგი ინახავს, არის შეტანა ამ წარმოქმნილი ფაილისთვის და არა გამოყენებადი მნიშვნელობა.

ჩამოთვალეთ, რა არსებობს, სანამ რამეს შეცვლით:

ipsec --version
sudo ls -l /etc/ipsec.d/*.secrets /etc/ipsec.d/ipsec.nm-l2tp.secrets 2>/dev/null
sudo grep -n "include" /etc/ipsec.secrets

დანამატის ძველი ვერსიები წერდნენ ერთ ფაილს თითო კავშირზე, კავშირის UUID-ის სახელით, მაგალითად /etc/ipsec.d/nm-l2tp-ipsec-<uuid>.secrets. აპლეტში პროფილის წაშლა საიმედოდ არ შლის ამ ფაილს. თუ წინა სერვერის ძველი ფაილი ჯერ კიდევ დისკზეა და მაინც შეყვანილია, დემონმა შეიძლება აირჩიოს საიდუმლო, რომელიც ეკუთვნის პროფილს, რომელსაც აღარ იყენებთ, და კავშირი ფეილდება, მაშინ როცა ხილული ველი სწორია.

გაიგეთ, რა მოიტანა 1.2.12 ცვლილებამ განახლებებში

დანამატის 1.2.12 ვერსიამ თითო კავშირის საიდუმლო ფაილები შეცვალა ერთი საერთო ფაილით, /etc/ipsec.d/ipsec.nm-l2tp.secrets. განახლება არ ასუფთავებს UUID-ის ძველ ფაილებს და არსებული include /etc/ipsec.d/*.secrets სტრიქონი მაინც შეიყვანს მათ. 1.2.16 ვერსიამ ნაგულისხმევი წინადადებების დამუშავება შეცვალა და არა საიდუმლოების განლაგება.

ეს ისტორია ხსნის, რატომ იქცევიან განსხვავებულად ორი მანქანა, რომლებსაც ერთი და იგივე პროფილი ჰგონიათ. გასაღები იდენტურია, დემონის მიერ შეყვანილი ფაილების ნაკრები კი არა. როცა ობოლი ფაილს აშორებთ, გადაიტანეთ გვერდზე და ნუ წაშლით, დაადასტურეთ კავშირი და შემდეგ წაშალეთ, როცა სამუშაო მდგომარეობა ჩაიწერება. სახელის შეცვლა ძველ მნიშვნელობას აღდგენადს ტოვებს, თუ აღმოჩნდება, რომ ხარვეზი სხვაგანაა.

გამოყავით ის სიმბოლოები, რომლებსაც შენახვის ფორმატი ვერ იტევს

strongSwan-ის დოკუმენტაცია საერთო საიდუმლოს სტრიქონზე ამბობს, რომ მნიშვნელობა ვერ შეიცავს ახალ ხაზს ან ორმაგი ბრჭყალის სიმბოლოს. დოკუმენტიდან ჩასმულ გასაღებს შეიძლება ჰქონდეს რომელიმე მათგანი ყოველგვარი ვიზუალური განსხვავების გარეშე ჩვეულებრივ დიალოგში.

1.2.12-იდან შენახული მნიშვნელობა აღარ არის უბრალო ტექსტი. დანამატი PSK-ს base64-ით კოდირებს, სანამ ის ფაილამდე მიაღწევს, და გამოშვების შენიშვნები სწორედ ამ კოდირებას ასახელებენ მიზეზად, რატომ არის ორმაგი ბრჭყალი ახლა დასაშვები გასაღებში. ამიტომ ველში აკრეფილი ბრჭყალი წარმოსადგენია; იგივე არ ეხება ყველა საკონტროლო სიმბოლოს.

სიგრძე სხვა შეზღუდვაა. L2TP/IPsec პროგრამულ უზრუნველყოფაში უნივერსალური მინიმუმი არ არსებობს: ზოგი კლიენტი ოც სიმბოლოზე მოკლე გასაღებს იღებს, ზოგი კარიბჭე კი მინიმუმს აწესებს. თუ მოკლე გასაღები უარყოფილია, წესი ეკუთვნის სერვერის პოლიტიკას ან ამ კლიენტის ვალიდაციას და ლოკალურად რაიმეს გაზრდა ამას არ შეცვლის.

წაიკითხეთ, რომელი ავთენტიფიკაციის შრე ჩავარდა

ჯერ გაუშვით ipsec --version, რადგან strongSwan და Libreswan სხვადასხვა ფაილის სახელსა და სინტაქსს იყენებენ და ერთისთვის მოცემული რჩევა შეიძლება მეორეს დააზიანოს. შემდეგ წაიკითხეთ ჩავარდნის ეტაპი კლიენტის შეტყობინებიდან ან დემონის ლოგიდან: ჩივილი წინასწარ გაზიარებულ გასაღებზე სხვა მოვლენაა, ვიდრე უარყოფილი მომხმარებლის სახელი და პაროლი.

PSK ავთენტიფიცირებს გვირაბის ბოლოებს. მომხმარებლის სახელი და პაროლი ავთენტიფიცირებს L2TP-ის შიგნით მყოფ ადამიანს და PPP მათთან მუშაობს მას შემდეგ, რაც IPsec ასოციაცია ამოვა. სწორი PSK არასწორი ანგარიშით მაინც ფეილდება და ანგარიშის შეცვლა არ შეაკეთებს გასაღებს, რომელიც დემონს არასდროს წაუკითხავს სწორად.

როცა ბილეთს ხურავთ, ჩაწერეთ ოთხივე: დანამატის ვერსია, გამოყენებული საიდუმლო ფაილი, გასაღები ხელახლა აკრიფეს თუ ჩასვეს, და შეცდომაში დასახელებული შრე. მაშინ ვინც მოგვიანებით გაიმეორებს ამ გზას, შეძლებს პირდაპირ გადავიდეს მუშა და ფეილდებად მანქანებს შორის განსხვავებაზე.