IKEv2 алмасуы жұмыс істейді, содан кейін аутентификация сәтсіз аяқталады: қайдан іздеу керек

IKEv2 жауабын алған клиент шлюзге қол жеткізуге болатынын, екі тарап та ұсыныс туралы келісе алатынын және бастапқы кілт алмасуы аяқталғанын дәлелдеді. Ол біреудің аутентификацияланғанын дәлелдеген жоқ. Келесі алмасу идентитеттерді, сертификаттарды немесе EAP-ты тасымалдайды, және байланыс әдетте сол жерде тоқтайды. Осы тексерулердің қайсысы сәтсіз болғанын оқу — бүкіл диагностика, ал қате хабарламасының өзі мұны сирек айтады.

Тексеру 1: хабарламаны емес, кезеңді оқыңыз

Бас тарту үш жерден келуі мүмкін: клиент сервердің идентитетін қабылдамайды, шлюз клиенттің дәлелін қабылдамайды және сыртқы аутентификация қызметі тіркелгіні қабылдамайды.

Әрқайсысы басқа машинада басқа журнал жолын жасайды және әрқайсысының түзетуі басқа. Клиент жағында сервер сертификатын қабылдамау — клиенттегі сенім немесе атау мәселесі; шлюз жағында клиент сертификатын қабылдамау — шлюздегі сенім мәселесі; EAP сәтсіздігі — тіркелгі немесе бэкенд мәселесі. Сіз көріп отырған хабарлама әдетте клиенттің солардың біреуі туралы қорытындысы, сондықтан шлюз журналы клиенттің журналы сияқты маңызды.

Тексеру 2: қай идентитет тексерілді

Клиент пайдаланушының кез келген тіркелгі деректері ұсынылмай тұрып сервер сертификатын немесе күтілетін идентитетін қабылдамай алады, ал жұмыс істейтін сервер мекенжайы бұл тексерудің орнын баспайды. Клиент күтетін идентификатор шлюз ұсынатынға сәйкес келуі керек, бұл желілік емес, конфигурациялық факт.

strongSwan терминдерінде бұл клиенттегі rightid және екінші жақтағы шлюздің өз идентитеті, ал сәйкессіздік EAP талқыланбай тұрып сәтсіз аяқталады.

Шлюз бөлек клиенттің сертификатын, оның кілт дәлелін немесе тіркелгі аутентификациясын қабылдамай алады, және бұл үшеуі өзара алмастырылмайды. Пайдаланушы құпиясөзін қалпына келтіру құрылғы сертификатын жаңартпайды, ал құрылғы сертификатын қайта орнату қате сервер идентитетін түзетпейді. Сертификат сәтсіздіктері үшін алдымен сағатты, содан кейін сенім тізбегін, соңынан күтілетін идентификаторды тексеріңіз; сағаты бірнеше минутқа ауытқыған клиент сенім сәтсіздігіне ұқсайтын жарамдылық тексеруінен өтпейді. swanctl --list-certs екі ұшта да әр тараптың шын мәнінде не ұстайтынын көрсетеді.

Тексеру 3: егер EAP қатысса

Клиент пен сервер қолдау көрсетілетін әдіс туралы келісуі керек, ал бэкенд берілген идентитетті қабылдауы керек.

Пайдаланушы атына домен жұрнағы немесе орналастыру талап ететін нақты тіркелгі пішімі қажет болуы мүмкін, және пішім болжамды емес, құжатталған. Оператордың құжатталған өрістерін беру нұсқаларды сынап көруден жылдамырақ және екінші мәселені болдырмайды: қайталанған әрекеттер тіркелгіні құлыптауға әкелуі мүмкін, ол содан кейін бастапқы кезеңді жаңа сәтсіздіктің артына жасырады. Егер әдіс каталогқа қарсы EAP-MSCHAPv2 болса, сәтсіздік VPN-ге емес, каталогқа тиесілі болуы мүмкін.

Идентитет тексерулерін өшіру арқылы идентитет мәселелерін сынамаңыз. Бұл диагностикаланатын сәтсіздікті диагностикаланбайтынға айналдырады және байланысты бұрынғыдан әлсіз қалдырады.

Тексеру 4: сәтті кіруден кейін не болады

IKE_AUTH аяқталған соң, CHILD_SA келіссөзі қай трафик селекторлары орнатылатынын шешеді, және дәл сол жерде байланыс сәтті болып, бірақ ештеңе өткізбеуі мүмкін.

Жаңадан жұмыс істей бастаған кіру бұрын аутентификация сәтсіздігінің артында жасырылған селектор немесе маршрут мәселесін жиі ашады. Егер туннель көтерілсе де қолданба өз межелі жеріне жете алмаса, қайтадан идентитетке емес, келісілген селекторлар мен маршруттарға қараңыз. Сол кезде идентитет параметрлерін өзгерту қате кезеңді нысанаға алады және әдетте жұмыс істеп тұрған кіруді бұзады. swanctl --list-sas арқылы растаңыз, ол балаларды және олардың селекторларын IKE SA-дан бөлек көрсетеді.

Тексеру 5: қолдау қызметіне нені беру керек

Тазартылған уақыт шкаласы мен нақты бас тарту толық диагностикалық экспорттан құндырақ, ал экспортта бөлісуге болмайтын жеке кілттер немесе тіркелгі деректері болуы мүмкін.

Уақытты уақыт белдеуімен, клиент пен шлюз нұсқаларын, әдісті, құпиясөздің орнына ұсынылған идентитет жолын және оны қабылдамаған нақты кезеңді жазып алыңыз. strongSwan IKEv2 конфигурация құжаттамасы осы нәтижелерді шешетін идентитет пен EAP параметрлерін сипаттайды және өрісті өзгерту алдында оқылатын анықтама осы. Содан кейін бір нәрсені өзгертіп, жаңа қосылымды қайта сынаңыз, өйткені кэштелген сессия сізге ескі конфигурация туралы айтады.