Бір қате, үш құпия: қай VPN тіркелгі деректері сәтсіз аяқталды?
Клиент әр кезең үшін бір қате көрсетеді. Ешкім тексермеген құпиясөзді қалпына келтіруден бұрын бірлестікті, пайдаланушы алмасуын және әдісті оқыңыз.
«Аутентификация сәтсіз аяқталды» деген хабар сервер сертификатына, машинаның алдын ала ортақ кілтіне немесе пайдаланушы құпиясөзіне меңзеуі мүмкін. Қайсысы екені протоколға байланысты, өйткені әр протокол құпиялардың өзге жиынтығын анықтайды. Дұрыс емесін қалпына келтірсеңіз, қате өзгеріссіз қалады. Шығар жол — бірдеңені өңдеуден бұрын протокол қанша дәлел талап ететінін анықтау.
Қарама-қарсы бағыттарға меңзейтін екі дәлел
Туннель дұрыс қақпаға жеткенін, ал бөлек пайдаланушының кім екенін жауаптауы керек. Қақпа дәлелі машина деңгейінде: сервер сертификаты, алдын ала ортақ кілт немесе статикалық ашық кілт. Пайдаланушы дәлелі адам деңгейінде: құпиясөз, токен, клиент сертификаты немесе мүлде ештеңе. Бұлар сенімнің қарама-қарсы бағыттары және өзге материал жұмсайды.
IKEv2 қақпа дәлелін IKE_AUTH ішінде орындайды, ал EAP қолданылғанда одан кейін пайдаланушы дәлелін жеке алмасуда жүргізеді. IKEv2 ерекшелігі оларды жеке бөлімдер ретінде ұстайды, бұл бір хабарлама екі раундты қамтығанда қайдан қарау керектігінің күшті белгісі.
Хабарламаны емес, кезеңді оқыңыз
Клиент қай кезең сәтсіз болғанына қарамастан бір қате жолын көрсетеді, сондықтан жолдың өзі дерлік ешқандай ақпарат тасымайды. Ақпаратты әр кезеңде тексере алатын күй тасымайды: бірлестік бар ма, пайдаланушы алмасуы басталды ма және клиент қақпа қалаған әдісті ұсынды ма. Кесте кезеңдерді протокол аты бойынша емес, дәл осылай реттейді.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Тек екінші жол пайдаланушы қайта тере алатын тіркелгі деректеріне қатысты. Қалған үшеуі конфигурация фактілері, және дәл осы сәйкессіздік мұндай есептердің көбі ештеңені өзгертпейтін құпиясөзді қалпына келтірумен аяқталуының себебі. Кез келген өріске тимес бұрын дәлеліңізге сәйкес жолды оқыңыз.
Екі құпиялы протокол қолын ашады
L2TP IPsec үстінде санды көрнекі етеді, өйткені екі тексеру әртүрлі процестерде жүреді. IPsec қабаты алдымен алдын ала ортақ кілтпен немесе сертификатпен көтерілуі керек, содан кейін ғана оның ішіндегі PPP пайдаланушы кірісін талпынады.
Машина құпиясы дұрыс болмаса, бірлестік құрылмайды және пайдаланушы деректері ешқашан сыналмайды. Машина құпиясы дұрыс, ал пайдаланушы құпиясы дұрыс болмаса, бірлестік бар және туннель әлдеқашан көтерілгеннен кейін PPP кірісті қабылдамайды. Екеуі де экранда екі түрлі оқиғадан бірдей хабарлама шығарады.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerБос бірлестіктер тізімі пайдаланушы қабатын бірден жоққа шығарады, сондықтан оны құпиясөзден бұрын тексеріңіз. Қайталанатын PPP сәтсіздіктері бар орныққан бірлестік қарсы бағытқа, пайдаланушы қабатына немесе оның ішіндегі аутентификация протоколына меңзейді. Екі тұжырымның ешқайсысы клиенттің қате мәтінінен қолжетімді емес.
Тек құпиясөзбен кіру шын мәнінде неге байланысты
Тек құпиясөзбен кіру L2TP, PPTP, SSTP және EAP бар IKEv2 үшін қалыпты. WireGuard-та мұндай мүмкіндік мүлде жоқ, өйткені оның серіктестері пайдаланушылар емес, кілттер. OpenVPN үшін жауап сервердің клиент сертификатына қоятын талабынан келеді: сертификат пен құпиясөзді қатар талап ететін қақпа тек құпиясөзді клиентті өріске не жазылса да қабылдамай береді.
Қай компонент керектігі сол жауаптан туындайды. IKEv2 астында құпиясөзбен кіру EAP сөйлейтін клиентті талап етеді, ал сертификатпен кіруге клиенттің жеке кілті мен сервер тізбегі қажет. Дұрыс емесін орнатсаңыз, сәтсіздік тіркелгі деректерінің қатесіндей оқылады, бірақ жетіспейтіні аутентификация әдісінің өзі.
Бір нәрсені өзгертіп, содан кейін қайта тексеріңіз
Алдымен үш фактіні анықтаңыз: қай протокол жұмыс істеп тұр, ол қанша құпия анықтайды және олардың қайсысы пайдаланушыға емес, машинаға тиесілі. Машиналар бірінші кезеңде, ал адамдар екіншісінде сәтсіз болады, және осы екеуін шатастыру осы мәселенің бәрі.
Содан кейін дәл бір нәрсені өзгертіп, сол клиенттен қайта тексеріңіз. Бұл тәртіп шатастыратын сәтсіздікті келесі адамға түсіндіре алатын түзетуге айналдырады, және бұл ешкім түсіндіре алмайтын жұмыс істеп тұрған қосылымнан пайдалырақ.