L2TP/IPsec PSK қабылданбады: алдымен диалог, содан кейін файлдар

Сіз әкімшінің хабарынан алынған алдын ала ортақ кілтті NetworkManager диалогына қоясыз, оны көрсету белгісін қоясыз және ол таңба-таңбаға сай келеді. Байланыс бәрібір туннель көтерілмей тұрып аутентификация қатесімен аяқталады. Мұны бірінші рет көргенде кілт қате деп ойладым; бірақ олай емес еді. Демонның шын мәнінде нені оқитынын тағы екі нәрсе шешеді: плагин осы байланыс үшін жазатын құпия файл және мән диалогтан өзгеріссіз өтті ме, жоқ па.

Төмендегі жол кілтті өрістен файлға дейін қадағалайды және дәл осы рет оның қайда жоғалғанын айтады. Мұны істен шығатын машинада жасаңыз, жұмыс істейтінде емес, өйткені бұл екі машинаның айырмашылығы әдетте файл орналасуы, кілт емес.

Диалогтан бастаңыз, бірақ өріске сенбеңіз

Байланыстың IPsec қойындысын ашып, кілтті қоюдың орнына қайта теріңіз. Чат хабарламасынан, PDF-тен немесе құпиясөз менеджерінен көшірілген кілттің соңында өріс көрсетпейтін жол үзілімі болуы мүмкін, ал көрінетін таңбалар бәрібір дұрыс көрінеді.

Құпиясөзді көрсету түймесін басып, жолдың ортасына емес, соңына қараңыз. Егер курсор мәтіннің астында бос жол қалдырса, оны өшіріп, соңғы таңбаны қайта теріңіз. Осы бір түзету мұндай хабарламалардың таңғаларлық бөлігін шешеді және кез келген журналды оқуған қарағанда арзан.

Егер кілт ұзын жолдарды бөлетін билет жүйесінен келсе, оны бөлмейтін арна арқылы сұраңыз. Екі жолды көзбен салыстырудың орнына ұзындықтарын әкімшімен салыстырыңыз; бөлу орнында жоғалған таңба пропорционалды қаріпте көрінбейді.

Кілтті /etc/ipsec.d ішіне қадағалаңыз

Плагин PSK-ны IPsec демонына командалық жолда аргумент ретінде ешқашан бермейді. Оның орнына ол мәнді құпия файлда сақтайды және демон сол файлды қосатындай етіп жасайды, егер жоқ болса /etc/ipsec.secrets ішіне include жолын қосады. Диалог ұстап тұрған нәрсе — сол жасалған файлға кіріс, қолданылып жатқан мән емес.

Бірдеңені өзгертер алдында не барын тізіп шығыңыз:

ipsec --version
sudo ls -l /etc/ipsec.d/*.secrets /etc/ipsec.d/ipsec.nm-l2tp.secrets 2>/dev/null
sudo grep -n "include" /etc/ipsec.secrets

Плагиннің ескі шығарылымдары әр байланысқа бір файл жазатын, ол байланыстың UUID-імен аталған, мысалы /etc/ipsec.d/nm-l2tp-ipsec-<uuid>.secrets. Апплетте профильді жою сол файлды сенімді түрде жоймайды. Егер алдыңғы сервердің ескі файлы әлі дискіде болса және әлі қосылса, демон сіз енді пайдаланбайтын профильге жататын құпияны таңдауы мүмкін, ал көрінетін өріс дұрыс болса да байланыс сәтсіз аяқталады.

1.2.12 өзгерісі жаңартуларға не әкелгенін түсініңіз

Плагиннің 1.2.12 нұсқасы әр байланысқа арналған құпия файлдарды бір ортақ файлмен алмастырды, /etc/ipsec.d/ipsec.nm-l2tp.secrets. Жаңарту UUID бойынша ескі файлдарды тазаламайды және бар include /etc/ipsec.d/*.secrets жолы оларды әлі қосады. 1.2.16 нұсқасы әдепкі ұсыныстарды өңдеуді өзгертті, құпиялардың орналасуын емес.

Бұл тарих бірдей көрінетін профилі бар екі машинаның неге басқаша әрекет ететінін түсіндіреді. Кілт бірдей; демон қосатын файлдар жиынтығы олай емес. Жетім файлды алып тастағанда, оны өшірудің орнына шетке жылжытыңыз, байланысты растаңыз, содан кейін жұмыс күйі жазылған соң өшіріңіз. Атын өзгерту ескі мәнді қалпына келтіруге болатындай сақтайды, егер ақау басқа жерде болып шықса.

Сақтау пішімі ұстай алмайтын таңбаларды бөліңіз

Ортақ құпия жолы туралы strongSwan құжаттамасы мәнде жаңа жол немесе қос тырнақ таңбасы болмауы керектігін айтады. Құжаттан қойылған кілт қарапайым диалогта ешқандай көрнекі айырмашылықсыз екеуін де алып жүруі мүмкін.

1.2.12-ден бері сақталған мән қарапайым мәтін емес. Плагин PSK-ны файлға жетпей тұрып base64-пен кодтайды және шығарылым жазбалары осы кодтауды кілтте қос тырнақтың енді қабылдануының себебі ретінде көрсетеді. Сондықтан өріске терілген тырнақ ұсынылуы мүмкін; бұл әрбір басқару таңбасына қатысты дұрыс емес.

Ұзындық — басқа шектеу. L2TP/IPsec бағдарламалық жасақтамасында әмбебап минимум жоқ: кейбір клиенттер жиырма таңбадан қысқа кілттерді қабылдайды, ал кейбір шлюздар минимумды талап етеді. Қысқа кілт қабылданбаса, ереже сервер саясатына немесе сол клиенттің тексеруіне жатады, ал жергілікті түрде бірдеңені көтеру оны өзгертпейді.

Аутентификацияның қай қабаты сәтсіз болғанын оқыңыз

Алдымен ipsec --version іске қосыңыз, өйткені strongSwan мен Libreswan әртүрлі файл атаулары мен синтаксис қолданады және біреуіне берілген кеңес екіншісіне зиян келтіруі мүмкін. Содан кейін сәтсіздік кезеңін клиент хабарламасынан немесе демон журналынан оқыңыз: алдын ала ортақ кілт туралы шағым қабылданбаған пайдаланушы аты мен құпиясөзден басқа оқиға.

PSK туннельдің ұштарын аутентификациялайды. Пайдаланушы аты мен құпиясөз L2TP ішіндегі адамды аутентификациялайды және PPP олармен IPsec бірлестігі көтерілгеннен кейін айналысады. Дұрыс PSK қате аккаунтпен де сәтсіз болады, ал аккаунтты ауыстыру демон ешқашан дұрыс оқымаған кілтті түзетпейді.

Билетті жапқанда төртеуін де жазыңыз: плагин нұсқасы, қолданылатын құпия файл, кілт қайта терілді ме әлде қойылды ма, және қатеде аталған қабат. Сонда кейін бұл жолды қайталаған кез келген адам жұмыс істейтін және сәтсіз машиналар арасындағы айырмашылыққа тікелей өте алады.