Ортақ құпия немесе пайдаланушы кіруі: L2TP/IPsec-тің қай өрісі сәтсіз болды?
Алдын ала бөлінген кілт серіктесті дәлелдейді, ал PPP пайдаланушы аты мен құпиясөзі адамды. Қате коды екі қабаттың қайсысы бұзылғанын айтады.
Бір кеңсе әр ноутбукке бірдей IPsec құпиясын бере алады, ал әр адам жеке тіркелгісімен кіреді, сондықтан «кілт дұрыс» және «құпиясөз дұрыс» екеуі де ақиқат болып, кіру сәтсіз аяқталуы мүмкін. L2TP мен IPsec әртүрлі кезеңдерде әртүрлі тараптарды аутентификациялайды. Екі қабатты салыстыру және оларды ажырататын қате коды бұл билеттердің көбін екі мәнді қайта ауыстырудан тезірек жабады. Кезеңдер бір-бірін алмастырмайды, және алдыңыздағы хабарлама қайсысының жұмыс істеп тұрғанын айтып тұр.
Екі қабат, екі түрлі бірегейлік
Алдымен IPsec серіктесінің аутентификациясы іске қосылады. Клиент пен шлюз туннельдің кез келген жүктемесі қорғалмай тұрып, алдын ала бөлінген кілт немесе сертификат арқылы бір-біріне кім екенін дәлелдейді. L2TP сеансының ішіндегі PPP алмасуы одан кейін жүреді, және дәл сол жерде сіздің пайдаланушы атыңыз бен құпиясөзіңіз сервердің тіркелгі қоймасына қарсы тексеріледі.
Кезеңдер тәуелсіз, сондықтан жарамды пайдаланушы тіркелгісі қате IPsec кілтін құтқара алмайды, ал дұрыс кілт мерзімі өткен құпиясөзді құтқара алмайды. Екеуін билетте бөлек жазыңыз, ал диагноз әдетте кезеңді атайтын бірінші журнал жолынан шығады.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Ортақ құпия серіктесті дәлелдейді
Алдын ала бөлінген кілт — шлюз бен оған қосылатын әр клиентте бар топтық тіркелгі деректері. Ол серіктестің кілтті білетінін анықтайды, және одан IKE байланысты қорғайтын кілттерді шығарады. Бұл алмасуда пернетақтадағы адамды сәйкестендіретін ештеңе жоқ. Дәл сондықтан сол туннельде екінші, пайдаланушы деңгейіндегі кіру бар.
Бұл дизайнның кері қайтару үшін практикалық салдары бар. Бір ноутбуктен айырылу оны пайдаланатын әр құрылғы үшін құпияны айналдыруды білдіреді, егер орналастыру сертификаттарға көшпесе, онда бір құрылғыны қалғандарына тимей-ақ алып тастауға болады. Айырбас — әкімшілік күш-жігер мен залал радиусы.
Профильге терілген кілт те экран суреттері мен чат арқылы ең оңай таралатын тіркелгі деректері. Оны жеке құпиясөз ретінде емес, ортақ инфрақұрылым материалы ретінде қараңыз, өйткені ол дәл сол.
Кіру PPP-ге тиесілі
L2TP сеансының ішінде PPP аутентификация туралы келіседі және серверден сіз терген мәндер жұбын тексеруді сұрайды. Windows-та бұл профиль сұрайтын сол пайдаланушы аты мен құпиясөз, ал маршрутизаторда — PPP профилі сілтейтін нәрсе. Ол тіркелгі қоймасына қарсы тексеріледі, кілтке қарсы емес. Екі адам ноутбук пен кілтті бөлісіп, осы кезеңде бәрібір ажыратыла алады.
Бұл пайдаланушы аутентификациясы болғандықтан, тіркелгінің барлық әдеттегі саясаттары қолданылады: мерзімі өткен құпиясөз, құлыпталған тіркелгі, телефонмен кіру рұқсаты немесе домен алып жүруі тиіс атау. 691 қатесі бұл үйлесімді қабылданбаған деп хабарлайды, сондықтан бірдеңені қайта термес бұрын сервердің есеп жазбасын оқыңыз.
Қате өрісті өзі таңдасын
789 қатесі қауіпсіздік қабатын атайды және IPsec кезеңіне нұсқайды. Екі жақтағы алдын ала бөлінген кілттің дәл сәйкес келетінін, шлюз күтетін серіктес бірегейлігінің клиент жіберетінге сай келетінін және клиенттің басқа түрге емес, L2TP/IPsec-ке конфигурацияланғанын растаңыз.
691 қатесі тіркелгі деректерін атайды және PPP-ге нұсқайды. Құпияны өзгерту алдында тіркелгі күйі мен атаудың нақты пішімін тексеріңіз, өйткені екеуін бірге өзгерту сіз оқып отырған дәлелді жояды.
Туннель көтеріліп, трафик әлі тоқтаса, аутентификация өрістерін өңдеуді толығымен тоқтатыңыз. Мекенжай пулына, клиенттің ішкі желісіне қайтатын маршрутқа және MTU-ға қараңыз: екі қабатты салыстыру ақау әлі олардың ішінде болғанша ғана көмектеседі.