L2TP/IPsec істемейді: IPsec, туннель аутентификациясы немесе PPP кіруін бөліп алыңыз

Бір L2TP/IPsec қосылымының ішінде үш нәрсе аутентификациядан өтеді, олардың тек біреуі ғана қоңырау шалып отырған адамға қатысты. IPsec туннельдің шеткі нүктелерін дәлелдейді, L2TP басқару қосылымы өз құпиясымен серіктестерді қайта дәлелдеуі мүмкін, содан кейін PPP сессия ішіндегі пайдаланушы тіркелгісін дәлелдейді. Кез келген кезеңдегі сәтсіздік клиент диалогында қарапайым кіру қатесі болып көрінеді, ал сервер журналында мүлде басқаша көрінеді. Кезеңдерді ретімен өтіп, бірінші сәтсіз болған жерде тоқтаңыз, себебі тексерілмеген кезеңнен төмендегі әрбір кезең де тексерілмеген.

Үш аутентификация кезеңі, үш түрлі сәйкестік

IPsec шеткі нүктелердің кімге тиесілі екенін алдын ала ортақ кілт немесе сертификат арқылы дәлелдейді. Бұл сәйкестік машиналарға немесе шлюздерге тиесілі, пернетақта алдындағы адамға ешқашан тиесілі емес. Серіктестер осы кезеңде келісе алмаса, бірде-бір L2TP пакеті алмастырылмайды.

L2TP басқару қосылымы екінші, жеке шақыру-жауап алмасуын қосуы мүмкін, оны екі шеті де ұстауға тиіс ортақ құпия басқарады.

RFC 2661 осы басқару қосылымының аутентификациясын міндетті емес етеді, бұл бір қатенің екі серверде неге түрлі симптомдар беретінін түсіндіреді. Туннель құпиясын ешқашан баптамаған орналастыру кезеңді толық өткізіп жібереді; оны тек бір жағында баптаған орналастыру PPP ұсынылмай тұрып сәтсіз болады. Содан кейін PPP пайдаланушыны PAP, CHAP немесе MSCHAPv2 арқылы аутентификациялайды және атауды жергілікті, chap-secrets ішінде немесе RADIUS-та болуы мүмкін тіркелгі қоймасына береді. Сол сәттегі қате құпиясөз сізді әлі де жұмыс істейтін туннель мен сәтсіз сессиямен қалдырады.

Конфигурацияны өңдеу алдында тоқтайтын жерді оқыңыз

Күй шығысы strongSwan-дікі ме әлде Libreswan-дікі ме екенін білу үшін ipsec --version-ден бастаңыз. Содан кейін клиент диалогын емес, сервер журналын оқыңыз, өйткені сервер қай кезең бас тартқанын жазады.

Әдетте бір жол билетті шешеді: IKE немесе ұсыныс шағымы бірінші кезең, басқару қосылымы туралы хабарлама екінші кезең, ал PPP әдісінен немесе тіркелгіден бас тарту үшінші кезең. Сол жолды уақыт белгісімен билетке көшіріңіз. Клиент жағынан болжау сізде бұрыннан бар жалғыз дәлелді ысырап етеді.

Кілт материалы мен құпиясөздерді сол қоюдан тыс ұстаңыз; кезең атауы жұмысты бағыттайды, ал жария болған алдын ала ортақ кілт билетті нашаррақ салдармен қайта ашады.

Бірінші кезең: IPsec-те ассоциация бар ма?

strongSwan-де ipsec statusall немесе Libreswan-де ipsec whack --status іске қосып, нөлге тең емес есептегіштері бар орнатылған бала ассоциацияны іздеңіз. ip xfrm state екеуінде де ядро көрінісін көрсетеді. Есептегіштері өсіп келе жатқан орнатылған SA жұбы бірінші кезең аяқталды дегенді білдіреді және әрі қарай жүре аласыз.

Ассоциацияның мүлде болмауы серіктес мекенжайына, ұсыныстар жиынына немесе алдын ала ортақ кілтке нұсқайды, кейде UDP 500-ді қайта жазып, UDP 4500-ді тастайтын құрылғыға да нұсқайды. Орнатылып, бірнеше секундтан кейін жоғалатын ассоциация әдетте тіркелгі деректерінің мәселесі емес, екі шеттің өмір сүру ұзақтығының сәйкессіздігі. Бірдеңені қайта теру алдында екі жақ та бірдей шифрлау және хэш ұсыныстарын тізіп тұрғанын тексеріңіз. Егер жоқ болса, ешбір кілт ешқашан жұмыс істемейді.

Ассоциация жоқ кезде тоқтаңыз. Сол сәтте PPP параметрлерін өңдеу ештеңені өзгертпейді және нақты ақауды келесі адамнан жасырады.

Екінші кезең: L2TP басқару қосылымы аутентификациядан өтті ме?

IPsec іске қосылған соң, L2TP демонының орнатылған күйге жететін басқару қосылымын бақылаңыз, өйткені PPP оған дейін бастала алмайды. Басқару қосылымындағы бас тарту туннель құпиясы шеттер арасында өзгеше екенін немесе бір шеті екіншісі ешқашан жібермейтін құпияны талап ететінін білдіреді. Клиенттер жиі shared secret деп белгіленген бір өрісті көрсетеді, ал ол әдетте L2TP-ге емес, IPsec-ке тиесілі. Оны толтыру туннель құпиясын баптамайды, ал тазарту оны өшірмейді.

Егер екі жақтың ешқайсысы туннель құпиясын баптамаған болса, бұл кезеңді өткізіп жіберіп, басқару қосылымының сәтсіздігін қолжетімділік мәселесі ретінде қарастырыңыз. UDP 1701 демонға жететінін және екі шеттің бірдей инкапсуляцияға келісетінін растаңыз. Осы екі шарттың біріне арнап жазылған фаервол ережесі жартылай ашылатын қосылыстың жиі себебі.

Тек PPP туралы келіссөзді бастаған сессия ғана туннель кезеңінен шынымен өтті.

Үшінші кезең: PPP тіркелгіден бас тартып жатыр ма?

PPP сәтсіздігі сырттан басқаша көрінеді: туннель орнатылды, сессия басталады, ал демон аутентификация әдісінің сәтсіздігін немесе тіркелгіден бас тартуды жазады. Сол хабарламада аталған әдісті оқыңыз. PAP мен CHAP әртүрлі себептермен сәтсіз болады, ал біреуінен бас тартқан сервер тек соны ұсынатын клиенттен де бас тартады.

Linux серверінде демон PPP-ге беретін параметрлер файлын, әдетте /etc/ppp/options.xl2tpd, тексеріп, қай әдістер қабылданатынын және тіркелгілер қайда шешілетінін растаңыз. RADIUS-та бар, бірақ жергілікті құпиялар файлында жоқ атау таза сәтсіз болады және қате құпиясөзге ұқсайды. Содан кейін клиент сервер қабылдайтын әдісті ұсынып тұрғанын, сервер келіссөз жүргізуден бас тартатын күштірек әдісті емес екенін тексеріңіз. Осы кезеңді жөндеу үшін алдын ала ортақ кілтті өзгерту түстен кейінгі уақытты ысырап етеді және ештеңені өзгертпейді.

Сессия ақыры көтерілгенде, мекенжайларды бөлу, DNS және маршруттар әлі тексерілмеген, және әрқайсысы өзінше үнсіз сәтсіз болады. Жазбаларыңызда үш қабатты бөлек ұстаңыз: дұрыс кілт пен қате тіркелгі әрқашан сәтсіз болады, ал бір қабатты жөндеу ешқашан екіншісін жөндемейді.