საერთო საიდუმლო თუ მომხმარებლის შესვლა: L2TP/IPsec-ის რომელი ველი ჩავარდა?
წინასწარ გაზიარებული გასაღები პარტნიორს ამტკიცებს, PPP-ის მომხმარებლის სახელი და პაროლი კი ადამიანს. შეცდომის კოდი ამბობს, რომელი ორი ფენიდან გატყდა.
ერთ ოფისს შეუძლია ერთი და იგივე IPsec საიდუმლო მისცეს ყველა ლეპტოპს, სადაც თითოეული ადამიანი მაინც საკუთარი ანგარიშით შედის, და სწორედ ამიტომ შეიძლება «გასაღები სწორია» და «პაროლი სწორია» ერთდროულად ჭეშმარიტი იყოს, შესვლა კი მაინც ჩავარდეს. L2TP და IPsec სხვადასხვა ფენაზე სხვადასხვა მხარეს ამოწმებენ. ორი ფენის შედარება და მათი გამყოფი შეცდომის კოდი ამ ბილეთების უმეტესობას უფრო სწრაფად ხურავს, ვიდრე ორივე მნიშვნელობის კიდევ ერთი შეცვლა. ეტაპები ურთიერთშემცვლელი არ არის, და თქვენს წინ არსებული შეტყობინება უკვე ამბობს, რომელი მუშაობს.
ორი ფენა, ორი განსხვავებული იდენტობა
ჯერ IPsec-ის პარტნიორის ავთენტიფიკაცია მუშაობს. კლიენტი და კარიბჭე ერთმანეთს უმტკიცებენ, ვინ არიან, წინასწარ გაზიარებული გასაღებით ან სერტიფიკატით, სანამ გვირაბის რომელიმე დატვირთვა დაიცავება. L2TP სესიის შიგნით PPP-ის გაცვლა შემდეგ მოდის, და სწორედ იქ მოწმდება თქვენი მომხმარებლის სახელი და პაროლი სერვერის ანგარიშების საცავის წინააღმდეგ.
ეტაპები დამოუკიდებელია, ამიტომ სწორი მომხმარებლის ანგარიში ვერ იხსნის არასწორ IPsec გასაღებს, და სწორი გასაღები ვერ იხსნის ვადაგასულ პაროლს. ჩაწერეთ ორივე ცალ-ცალკე ბილეთში და დიაგნოზი ჩვეულებრივ გამოდის პირველი ჟურნალის სტრიქონიდან, რომელიც ეტაპს ასახელებს.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
საერთო საიდუმლო პარტნიორს ამტკიცებს
წინასწარ გაზიარებული გასაღები ჯგუფური სერტიფიკატია, რომელიც კარიბჭეს და მასთან დაკავშირებულ ყველა კლიენტს აქვს. ის ადგენს, რომ პარტნიორმა იცის გასაღები, და მისგან IKE იღებს კავშირის დამცავ გასაღებებს. ამ გაცვლაში არაფერი იდენტიფიცირებს კლავიატურასთან მჯდომ ადამიანს. სწორედ ამიტომ არსებობს მეორე, მომხმარებლის დონის შესვლა იმავე გვირაბში.
ამ დიზაინს გაუქმებისთვის პრაქტიკული შედეგი აქვს. ერთი ლეპტოპის დაკარგვა ნიშნავს საიდუმლოს ბრუნვას ყველა მოწყობილობაზე, რომელიც მას იყენებს, თუ განლაგება სერტიფიკატებზე არ გადადის, სადაც ერთი მოწყობილობის მოცილება დანარჩენებზე შეხების გარეშე შეიძლება. გაცვლა ადმინისტრაციული ძალისხმევაა ზიანის რადიუსის წინააღმდეგ.
პროფილში აკრეფილი გასაღები ასევე ყველაზე ადვილად გაჟონვადი სერტიფიკატია ეკრანის სურათებით და ჩატით. მოეპყარით მას როგორც საერთო ინფრასტრუქტურის მასალას და არა როგორც პირად პაროლს, რადგან ზუსტად ეს არის.
შესვლა PPP-ს ეკუთვნის
L2TP სესიის შიგნით PPP ავთენტიფიკაციაზე მოლაპარაკებას აწარმოებს და სერვერს სთხოვს შეამოწმოს თქვენ მიერ აკრეფილი მნიშვნელობების წყვილი. Windows-ში ეს იგივე მომხმარებლის სახელი და პაროლია, რომელსაც პროფილი ითხოვს, ხოლო მარშრუტიზატორში — ის, რაზეც PPP პროფილი მიუთითებს. ის მოწმდება ანგარიშების საცავის წინააღმდეგ, და არა გასაღების წინააღმდეგ. ორს შეუძლია გაიზიაროს ლეპტოპი და გასაღები და მაინც გაირჩეს ერთმანეთისგან ამ ეტაპზე.
რადგან ეს მომხმარებლის ავთენტიფიკაციაა, მოქმედებს ანგარიშის ყველა ჩვეულებრივი პოლიტიკა: ვადაგასული პაროლი, ჩაკეტილი ანგარიში, აკრეფის ნებართვა ან სახელი, რომელსაც დომენი უნდა ატარებდეს. შეცდომა 691 ამ კომბინაციას უარყოფილად აცხადებს, ამიტომ წაიკითხეთ სერვერის აღრიცხვის ჩანაწერი, სანამ რამეს ხელახლა ჩაწერთ.
დაე, შეცდომამ აირჩიოს ველი
შეცდომა 789 უსაფრთხოების ფენას ასახელებს და IPsec ეტაპზე მიუთითებს. დაადასტურეთ, რომ ორივე მხარეს წინასწარ გაზიარებული გასაღები ზუსტად ემთხვევა, რომ კარიბჭის მიერ მოლოდინი პარტნიორის იდენტობა ემთხვევა იმას, რასაც კლიენტი აგზავნის, და რომ კლიენტი L2TP/IPsec-ზეა კონფიგურირებული და არა სხვა ტიპზე.
შეცდომა 691 სერტიფიკატებს ასახელებს და PPP-ზე მიუთითებს. შეამოწმეთ ანგარიშის მდგომარეობა და სახელის ზუსტი ფორმატი სანამ საიდუმლოს შეცვლით, რადგან ორივეს ერთად შეცვლა ანადგურებს იმ მტკიცებულებას, რომელსაც კითხულობდით.
როცა გვირაბი ადის და ტრაფიკი მაინც ჩერდება, მთლიანად შეწყვიტეთ ავთენტიფიკაციის ველების რედაქტირება. შეხედეთ მისამართების აუზს, დაბრუნების მარშრუტს კლიენტის ქვექსელში და MTU-ს: ორი ფენის შედარება მხოლოდ მანამ შველის, სანამ ხარვეზი ჯერ მათ შიგნითაა.