IKEv2 ವಿನಿಮಯ ಕೆಲಸ ಮಾಡುತ್ತದೆ, ನಂತರ ದೃಢೀಕರಣ ವಿಫಲವಾಗುತ್ತದೆ: ಎಲ್ಲಿ ಹುಡುಕಬೇಕು

IKEv2 ಪ್ರತಿಕ್ರಿಯೆ ಪಡೆಯುವ ಕ್ಲೈಂಟ್ ಗೇಟ್ವೇ ತಲುಪಲು ಸಾಧ್ಯ ಎಂದು, ಎರಡೂ ಕಡೆಗಳು ಪ್ರಸ್ತಾವನೆಯ ಬಗ್ಗೆ ಮಾತುಕತೆ ನಡೆಸಬಹುದು ಎಂದು ಮತ್ತು ಆರಂಭಿಕ ಕೀಲಿ ವಿನಿಮಯ ಪೂರ್ಣಗೊಂಡಿತು ಎಂದು ಸಾಬೀತುಪಡಿಸಿದೆ. ಯಾರಾದರೂ ದೃಢೀಕರಿಸಲ್ಪಟ್ಟಿದ್ದಾರೆ ಎಂದು ಅದು ಸಾಬೀತುಪಡಿಸಿಲ್ಲ. ಮುಂದಿನ ವಿನಿಮಯವು ಗುರುತುಗಳು, ಪ್ರಮಾಣಪತ್ರಗಳು ಅಥವಾ EAP ಅನ್ನು ಒಯ್ಯುತ್ತದೆ, ಮತ್ತು ಸಂಪರ್ಕ ಸಾಮಾನ್ಯವಾಗಿ ಅಲ್ಲಿಯೇ ನಿಲ್ಲುತ್ತದೆ. ಈ ಪರಿಶೀಲನೆಗಳಲ್ಲಿ ಯಾವುದು ವಿಫಲವಾಯಿತು ಎಂಬುದನ್ನು ಓದುವುದೇ ಸಂಪೂರ್ಣ ರೋಗನಿರ್ಣಯ, ಮತ್ತು ದೋಷ ಸಂದೇಶ ಮಾತ್ರ ಅದನ್ನು ಅಪರೂಪವಾಗಿ ಹೇಳುತ್ತದೆ.

ಪರಿಶೀಲನೆ 1: ಸಂದೇಶವಲ್ಲ, ಹಂತವನ್ನು ಓದಿ

ತಿರಸ್ಕಾರವು ಮೂರು ಕಡೆಗಳಿಂದ ಬರಬಹುದು: ಕ್ಲೈಂಟ್ ಸರ್ವರ್ನ ಗುರುತನ್ನು ನಿರಾಕರಿಸುತ್ತದೆ, ಗೇಟ್ವೇ ಕ್ಲೈಂಟ್ನ ಸಾಕ್ಷ್ಯವನ್ನು ನಿರಾಕರಿಸುತ್ತದೆ, ಮತ್ತು ಬಾಹ್ಯ ದೃಢೀಕರಣ ಸೇವೆ ಖಾತೆಯನ್ನು ನಿರಾಕರಿಸುತ್ತದೆ.

ಪ್ರತಿಯೊಂದೂ ಬೇರೆ ಯಂತ್ರದಲ್ಲಿ ಬೇರೆ ಲಾಗ್ ಸಾಲನ್ನು ಉತ್ಪಾದಿಸುತ್ತದೆ, ಮತ್ತು ಪ್ರತಿಯೊಂದಕ್ಕೂ ಬೇರೆ ಪರಿಹಾರವಿದೆ. ಕ್ಲೈಂಟ್ ಕಡೆಯಿಂದ ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರದ ತಿರಸ್ಕಾರವು ಕ್ಲೈಂಟ್ನಲ್ಲಿ ನಂಬಿಕೆ ಅಥವಾ ಹೆಸರಿಸುವ ಸಮಸ್ಯೆ; ಗೇಟ್ವೇ ಕಡೆಯಿಂದ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರದ ತಿರಸ್ಕಾರವು ಗೇಟ್ವೇಯಲ್ಲಿ ನಂಬಿಕೆಯ ಸಮಸ್ಯೆ; EAP ವೈಫಲ್ಯವು ಖಾತೆ ಅಥವಾ ಬ್ಯಾಕೆಂಡ್ ಸಮಸ್ಯೆ. ನೀವು ನೋಡುವ ಸಂದೇಶವು ಸಾಮಾನ್ಯವಾಗಿ ಅವುಗಳಲ್ಲಿ ಒಂದರ ಕ್ಲೈಂಟ್ ಸಾರಾಂಶ, ಆದ್ದರಿಂದ ಗೇಟ್ವೇಯ ಲಾಗ್ ಕ್ಲೈಂಟ್ನಷ್ಟೇ ಮುಖ್ಯ.

ಪರಿಶೀಲನೆ 2: ಯಾವ ಗುರುತನ್ನು ಪರಿಶೀಲಿಸಲಾಯಿತು

ಯಾವುದೇ ಬಳಕೆದಾರ ರುಜುವಾತು ನೀಡುವ ಮೊದಲೇ ಕ್ಲೈಂಟ್ ಸರ್ವರ್ನ ಪ್ರಮಾಣಪತ್ರ ಅಥವಾ ಅದರ ನಿರೀಕ್ಷಿತ ಗುರುತನ್ನು ನಿರಾಕರಿಸಬಹುದು, ಮತ್ತು ಕೆಲಸ ಮಾಡುವ ಸರ್ವರ್ ವಿಳಾಸವು ಆ ಪರಿಶೀಲನೆಗೆ ಪರ್ಯಾಯವಲ್ಲ. ಕ್ಲೈಂಟ್ ನಿರೀಕ್ಷಿಸುವ ಗುರುತಿಸುವಿಕೆಯು ಗೇಟ್ವೇ ಪ್ರಸ್ತುತಪಡಿಸುವುದಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗಬೇಕು, ಇದು ನೆಟ್ವರ್ಕ್ ಸಂಗತಿಯಲ್ಲ, ಸಂರಚನಾ ಸಂಗತಿ.

strongSwan ಪರಿಭಾಷೆಯಲ್ಲಿ ಅದು ಕ್ಲೈಂಟ್ನಲ್ಲಿ rightid ಮತ್ತು ಇನ್ನೊಂದು ಬದಿಯಲ್ಲಿ ಗೇಟ್ವೇಯ ಸ್ವಂತ ಗುರುತು, ಮತ್ತು EAP ಚರ್ಚಿಸುವ ಮೊದಲೇ ಹೊಂದಾಣಿಕೆಯಾಗದಿರುವುದು ವಿಫಲವಾಗುತ್ತದೆ.

ಗೇಟ್ವೇ ಪ್ರತ್ಯೇಕವಾಗಿ ಕ್ಲೈಂಟ್ನ ಪ್ರಮಾಣಪತ್ರ, ಅದರ ಕೀಲಿ ಸಾಕ್ಷ್ಯ ಅಥವಾ ಅದರ ಖಾತೆ ದೃಢೀಕರಣವನ್ನು ನಿರಾಕರಿಸಬಹುದು, ಮತ್ತು ಈ ಮೂರೂ ಪರಸ್ಪರ ಬದಲಾಯಿಸಲಾಗದವು. ಬಳಕೆದಾರರ ಗುಪ್ತಪದವನ್ನು ಮರುಹೊಂದಿಸುವುದು ಸಾಧನ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನವೀಕರಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಸಾಧನ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಮರುಸ್ಥಾಪಿಸುವುದು ತಪ್ಪಾದ ಸರ್ವರ್ ಗುರುತನ್ನು ಸರಿಪಡಿಸುವುದಿಲ್ಲ. ಪ್ರಮಾಣಪತ್ರ ವೈಫಲ್ಯಗಳಿಗೆ ಮೊದಲು ಗಡಿಯಾರವನ್ನು, ನಂತರ ನಂಬಿಕೆ ಸರಪಳಿಯನ್ನು, ನಂತರ ನಿರೀಕ್ಷಿತ ಗುರುತಿಸುವಿಕೆಯನ್ನು ಪರಿಶೀಲಿಸಿ; ಗಡಿಯಾರವು ಕೆಲವು ನಿಮಿಷಗಳಷ್ಟು ವ್ಯತ್ಯಾಸವಿರುವ ಕ್ಲೈಂಟ್ ನಂಬಿಕೆ ವೈಫಲ್ಯದಂತೆ ಕಾಣುವ ಮಾನ್ಯತೆ ಪರಿಶೀಲನೆಯಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆ. swanctl --list-certs ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಪ್ರತಿ ಕಡೆ ನಿಜವಾಗಿ ಏನನ್ನು ಹೊಂದಿದೆ ಎಂಬುದನ್ನು ತೋರಿಸುತ್ತದೆ.

ಪರಿಶೀಲನೆ 3: EAP ಒಳಗೊಂಡಿದ್ದರೆ

ಕ್ಲೈಂಟ್ ಮತ್ತು ಸರ್ವರ್ ಬೆಂಬಲಿತ ವಿಧಾನದ ಬಗ್ಗೆ ಒಪ್ಪಿಕೊಳ್ಳಬೇಕು, ಮತ್ತು ಬ್ಯಾಕೆಂಡ್ ಒದಗಿಸಿದ ಗುರುತನ್ನು ಸ್ವೀಕರಿಸಬೇಕು.

ಬಳಕೆದಾರಹೆಸರಿಗೆ ಡೊಮೇನ್ ಪ್ರತ್ಯಯ ಅಥವಾ ನಿಯೋಜನೆಗೆ ಬೇಕಾದ ನಿರ್ದಿಷ್ಟ ಖಾತೆ ಸ್ವರೂಪ ಬೇಕಾಗಬಹುದು, ಮತ್ತು ಸ್ವರೂಪವು ಊಹಿಸಲಾಗದ್ದಲ್ಲ, ದಾಖಲಾಗಿದೆ. ನಿರ್ವಾಹಕರ ದಾಖಲಿತ ಕ್ಷೇತ್ರಗಳನ್ನು ಒದಗಿಸುವುದು ರೂಪಾಂತರಗಳನ್ನು ಪ್ರಯತ್ನಿಸುವುದಕ್ಕಿಂತ ವೇಗವಾಗಿದೆ, ಮತ್ತು ಅದು ಎರಡನೇ ಸಮಸ್ಯೆಯನ್ನು ತಪ್ಪಿಸುತ್ತದೆ: ಪುನರಾವರ್ತಿತ ಪ್ರಯತ್ನಗಳು ಖಾತೆ ಲಾಕ್ಔಟ್ ಉಂಟುಮಾಡಬಹುದು, ನಂತರ ಅದು ಮೂಲ ಹಂತವನ್ನು ಹೊಸ ವೈಫಲ್ಯದ ಹಿಂದೆ ಮರೆಮಾಡುತ್ತದೆ. ವಿಧಾನವು ಡೈರೆಕ್ಟರಿಯ ವಿರುದ್ಧ EAP-MSCHAPv2 ಆಗಿದ್ದರೆ, ವೈಫಲ್ಯವು VPNನದಲ್ಲ, ಡೈರೆಕ್ಟರಿಯದ್ದಾಗಿರಬಹುದು.

ಗುರುತಿನ ಪರಿಶೀಲನೆಗಳನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವ ಮೂಲಕ ಗುರುತಿನ ಸಮಸ್ಯೆಗಳನ್ನು ಪರೀಕ್ಷಿಸಬೇಡಿ. ಅದು ರೋಗನಿರ್ಣಯ ಮಾಡಬಹುದಾದ ವೈಫಲ್ಯವನ್ನು ಮಾಡಲಾಗದಂತೆ ಮಾಡುತ್ತದೆ ಮತ್ತು ಸಂಪರ್ಕವನ್ನು ಮೊದಲಿಗಿಂತ ದುರ್ಬಲವಾಗಿ ಬಿಡುತ್ತದೆ.

ಪರಿಶೀಲನೆ 4: ಯಶಸ್ವಿ ಲಾಗಿನ್ ನಂತರ ಏನಾಗುತ್ತದೆ

IKE_AUTH ಪೂರ್ಣಗೊಂಡ ನಂತರ, CHILD_SA ಮಾತುಕತೆ ಯಾವ ಸಂಚಾರ ಆಯ್ಕೆಕಾರಕಗಳನ್ನು ಸ್ಥಾಪಿಸಲಾಗುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು ಅಲ್ಲಿಯೇ ಸಂಪರ್ಕವು ಯಶಸ್ವಿಯಾಗಿ ಕೂಡ ಏನನ್ನೂ ರವಾನಿಸದಿರಬಹುದು.

ಹೊಸದಾಗಿ ಕೆಲಸ ಮಾಡುತ್ತಿರುವ ಲಾಗಿನ್ ಹಿಂದೆ ದೃಢೀಕರಣ ವೈಫಲ್ಯದ ಹಿಂದೆ ಮರೆಯಾಗಿದ್ದ ಆಯ್ಕೆಕಾರಕ ಅಥವಾ ಮಾರ್ಗ ಸಮಸ್ಯೆಯನ್ನು ಹೆಚ್ಚಾಗಿ ಬಯಲು ಮಾಡುತ್ತದೆ. ಸುರಂಗವು ಮೇಲೆ ಬಂದರೂ ಅಪ್ಲಿಕೇಶನ್ ತನ್ನ ಗಮ್ಯಸ್ಥಾನವನ್ನು ತಲುಪದಿದ್ದರೆ, ಮತ್ತೆ ಗುರುತಿನ ಬದಲು ಮಾತುಕತೆಯಾದ ಆಯ್ಕೆಕಾರಕಗಳು ಮತ್ತು ಮಾರ್ಗಗಳನ್ನು ನೋಡಿ. ಆ ಹಂತದಲ್ಲಿ ಗುರುತಿನ ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ಬದಲಿಸುವುದು ತಪ್ಪು ಹಂತವನ್ನು ಗುರಿಯಾಗಿಸುತ್ತದೆ ಮತ್ತು ಸಾಮಾನ್ಯವಾಗಿ ಕೆಲಸ ಮಾಡುತ್ತಿರುವ ಲಾಗಿನ್ ಅನ್ನು ಮುರಿಯುತ್ತದೆ. swanctl --list-sas ಮೂಲಕ ದೃಢೀಕರಿಸಿ, ಅದು ಮಕ್ಕಳನ್ನು ಮತ್ತು ಅವರ ಆಯ್ಕೆಕಾರಕಗಳನ್ನು IKE SA ನಿಂದ ಪ್ರತ್ಯೇಕವಾಗಿ ತೋರಿಸುತ್ತದೆ.

ಪರಿಶೀಲನೆ 5: ಬೆಂಬಲಕ್ಕೆ ಏನು ನೀಡಬೇಕು

ಸ್ವಚ್ಛಗೊಳಿಸಿದ ಸಮಯರೇಖೆ ಮತ್ತು ನಿಖರವಾದ ತಿರಸ್ಕಾರವು ಪೂರ್ಣ ರೋಗನಿರ್ಣಯ ರಫ್ತಿಗಿಂತ ಹೆಚ್ಚು ಮೌಲ್ಯಯುತ, ಮತ್ತು ರಫ್ತಿನಲ್ಲಿ ನೀವು ಹಂಚಿಕೊಳ್ಳಬಾರದ ಖಾಸಗಿ ಕೀಲಿಗಳು ಅಥವಾ ರುಜುವಾತುಗಳು ಇರಬಹುದು.

ಸಮಯ ವಲಯದೊಂದಿಗೆ ಸಮಯ, ಕ್ಲೈಂಟ್ ಮತ್ತು ಗೇಟ್ವೇ ಆವೃತ್ತಿಗಳು, ವಿಧಾನ, ಗುಪ್ತಪದದ ಬದಲು ಒದಗಿಸಿದ ಗುರುತಿನ ಸರಣಿ, ಮತ್ತು ಅದನ್ನು ನಿರಾಕರಿಸಿದ ನಿಖರ ಹಂತವನ್ನು ದಾಖಲಿಸಿ. strongSwan IKEv2 ಸಂರಚನಾ ದಾಖಲೆ ಈ ಫಲಿತಾಂಶಗಳನ್ನು ನಿರ್ಧರಿಸುವ ಗುರುತು ಮತ್ತು EAP ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ವಿವರಿಸುತ್ತದೆ, ಮತ್ತು ಕ್ಷೇತ್ರವನ್ನು ಬದಲಿಸುವ ಮೊದಲು ಓದಬೇಕಾದ ಉಲ್ಲೇಖ ಅದೇ. ನಂತರ ಒಂದು ವಿಷಯವನ್ನು ಬದಲಿಸಿ ಹೊಸ ಸಂಪರ್ಕವನ್ನು ಮತ್ತೆ ಪರೀಕ್ಷಿಸಿ, ಏಕೆಂದರೆ ಕ್ಯಾಶ್ ಮಾಡಿದ ಅಧಿವೇಶನವು ಹಳೆಯ ಸಂರಚನೆಯ ಬಗ್ಗೆ ಹೇಳುತ್ತದೆ.