ಒಂದು ದೋಷ, ಮೂರು ರಹಸ್ಯಗಳು: ಯಾವ VPN ರುಜುವಾತು ವಿಫಲವಾಯಿತು?
ಕ್ಲೈಂಟ್ ಪ್ರತಿ ಹಂತಕ್ಕೂ ಒಂದು ದೋಷವನ್ನು ತೋರಿಸುತ್ತದೆ. ಯಾರೂ ಪರಿಶೀಲಿಸದ ಗುಪ್ತಪದವನ್ನು ಮರುಹೊಂದಿಸುವ ಮೊದಲು ಸಂಘ, ಬಳಕೆದಾರ ವಿನಿಮಯ ಮತ್ತು ವಿಧಾನವನ್ನು ಓದಿ.
«ದೃಢೀಕರಣ ವಿಫಲವಾಯಿತು» ಎಂಬುದು ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರ, ಯಂತ್ರದ ಪೂರ್ವ-ಹಂಚಿಕೆ ಕೀ ಅಥವಾ ಬಳಕೆದಾರ ಗುಪ್ತಪದವನ್ನು ಸೂಚಿಸಬಹುದು. ಅವುಗಳಲ್ಲಿ ಯಾವುದು ಎಂಬುದು ಪ್ರೋಟೋಕಾಲ್ ಮೇಲೆ ಅವಲಂಬಿತವಾಗಿದೆ, ಏಕೆಂದರೆ ಪ್ರತಿ ಪ್ರೋಟೋಕಾಲ್ ಬೇರೆ ರಹಸ್ಯಗಳ ಗುಂಪನ್ನು ವ್ಯಾಖ್ಯಾನಿಸುತ್ತದೆ. ತಪ್ಪಾದದನ್ನು ಮರುಹೊಂದಿಸಿದರೆ ದೋಷ ಬದಲಾಗದೆ ಉಳಿಯುತ್ತದೆ. ಏನನ್ನಾದರೂ ಸಂಪಾದಿಸುವ ಮೊದಲು ಪ್ರೋಟೋಕಾಲ್ ಎಷ್ಟು ಸಾಕ್ಷ್ಯಗಳನ್ನು ಬಯಸುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುವುದೇ ಹೊರದಾರಿ.
ವಿರುದ್ಧ ದಿಕ್ಕುಗಳಿಗೆ ತೋರಿಸುವ ಎರಡು ಸಾಕ್ಷ್ಯಗಳು
ಸುರಂಗವು ಸರಿಯಾದ ಗೇಟ್ವೇ ತಲುಪಿದೆಯೇ ಎಂಬುದಕ್ಕೂ, ಪ್ರತ್ಯೇಕವಾಗಿ ಬಳಕೆದಾರರು ಯಾರು ಎಂಬುದಕ್ಕೂ ಉತ್ತರಿಸಬೇಕು. ಗೇಟ್ವೇ ಸಾಕ್ಷ್ಯ ಯಂತ್ರ ಮಟ್ಟದ್ದು: ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರ, ಪೂರ್ವ-ಹಂಚಿಕೆ ಕೀ ಅಥವಾ ಸ್ಥಿರ ಸಾರ್ವಜನಿಕ ಕೀ. ಬಳಕೆದಾರ ಸಾಕ್ಷ್ಯ ವ್ಯಕ್ತಿ ಮಟ್ಟದ್ದು: ಗುಪ್ತಪದ, ಟೋಕನ್, ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರ, ಅಥವಾ ಏನೂ ಇಲ್ಲ. ಇವು ನಂಬಿಕೆಯ ವಿರುದ್ಧ ದಿಕ್ಕುಗಳು ಮತ್ತು ಬೇರೆ ಸಾಮಗ್ರಿಯನ್ನು ಬಳಸುತ್ತವೆ.
IKEv2 ಗೇಟ್ವೇ ಸಾಕ್ಷ್ಯವನ್ನು IKE_AUTH ಒಳಗೆ ನಿರ್ವಹಿಸುತ್ತದೆ ಮತ್ತು EAP ಬಳಸಿದಾಗ ನಂತರ ಬಳಕೆದಾರ ಸಾಕ್ಷ್ಯವನ್ನು ಪ್ರತ್ಯೇಕ ವಿನಿಮಯದಲ್ಲಿ ನಡೆಸುತ್ತದೆ. IKEv2 ವಿಶೇಷಣೆ ಇವುಗಳನ್ನು ಪ್ರತ್ಯೇಕ ವಿಭಾಗಗಳಾಗಿ ಇರಿಸುತ್ತದೆ, ಒಂದು ಸಂದೇಶವು ಎರಡೂ ಸುತ್ತುಗಳನ್ನು ಒಳಗೊಂಡಾಗ ಎಲ್ಲಿ ನೋಡಬೇಕು ಎಂಬುದಕ್ಕೆ ಇದು ಬಲವಾದ ಸುಳಿವು.
ಸಂದೇಶವನ್ನಲ್ಲ, ಹಂತವನ್ನು ಓದಿ
ಯಾವ ಹಂತ ವಿಫಲವಾದರೂ ಕ್ಲೈಂಟ್ ಒಂದೇ ದೋಷ ಸರಣಿಯನ್ನು ತೋರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಸರಣಿಯೇ ಬಹುತೇಕ ಯಾವುದೇ ಮಾಹಿತಿ ಹೊಂದಿಲ್ಲ. ಮಾಹಿತಿ ಹೊಂದಿರುವುದು ಪ್ರತಿ ಹಂತದಲ್ಲಿ ನೀವು ಪರಿಶೀಲಿಸಬಹುದಾದ ಸ್ಥಿತಿ: ಸಂಘವಿದೆಯೇ, ಬಳಕೆದಾರ ವಿನಿಮಯ ಪ್ರಾರಂಭವಾಯಿತೇ ಮತ್ತು ಗೇಟ್ವೇ ಬಯಸಿದ ವಿಧಾನವನ್ನು ಕ್ಲೈಂಟ್ ನೀಡಿತೇ. ಕೋಷ್ಟಕವು ಹಂತಗಳನ್ನು ಪ್ರೋಟೋಕಾಲ್ ಹೆಸರಿನ ಬದಲು ಆ ರೀತಿಯಲ್ಲಿ ಜೋಡಿಸುತ್ತದೆ.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
ಬಳಕೆದಾರರು ಮತ್ತೆ ಟೈಪ್ ಮಾಡಬಹುದಾದ ರುಜುವಾತಿಗೆ ಸಂಬಂಧಿಸಿದ್ದು ಎರಡನೇ ಸಾಲು ಮಾತ್ರ. ಉಳಿದ ಮೂರು ಸಂರಚನೆಯ ಸತ್ಯಗಳು, ಮತ್ತು ಈ ಅಸಂಗತಿಯೇ ಇಂತಹ ಹಲವು ವರದಿಗಳು ಏನನ್ನೂ ಬದಲಿಸದ ಗುಪ್ತಪದ ಮರುಹೊಂದಿಕೆಯಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುವ ಕಾರಣ. ಯಾವುದೇ ಕ್ಷೇತ್ರವನ್ನು ಸ್ಪರ್ಶಿಸುವ ಮೊದಲು ನಿಮ್ಮ ಸಾಕ್ಷ್ಯಕ್ಕೆ ಹೊಂದುವ ಸಾಲನ್ನು ಓದಿ.
ಎರಡು ರಹಸ್ಯಗಳ ಪ್ರೋಟೋಕಾಲ್ ತನ್ನ ಎಲೆಗಳನ್ನು ತೋರಿಸುತ್ತದೆ
L2TP IPsec ಮೇಲೆ ಎಣಿಕೆಯನ್ನು ಗೋಚರವಾಗಿಸುತ್ತದೆ, ಏಕೆಂದರೆ ಎರಡು ಪರಿಶೀಲನೆಗಳು ಬೇರೆ ಪ್ರಕ್ರಿಯೆಗಳಲ್ಲಿ ನಡೆಯುತ್ತವೆ. IPsec ಪದರವು ಮೊದಲು ಪೂರ್ವ-ಹಂಚಿಕೆ ಕೀ ಅಥವಾ ಪ್ರಮಾಣಪತ್ರದೊಂದಿಗೆ ಮೇಲೇರಬೇಕು, ಮತ್ತು ಆಮೇಲೆ ಮಾತ್ರ ಅದರೊಳಗಿನ PPP ಬಳಕೆದಾರ ಲಾಗಿನ್ ಪ್ರಯತ್ನಿಸುತ್ತದೆ.
ಯಂತ್ರದ ರಹಸ್ಯ ತಪ್ಪಾಗಿದ್ದಾಗ ಯಾವುದೇ ಸಂಘ ರೂಪುಗೊಳ್ಳದು ಮತ್ತು ಬಳಕೆದಾರ ರುಜುವಾತು ಎಂದಿಗೂ ಪ್ರಯತ್ನಿಸಲ್ಪಡದು. ಯಂತ್ರದ ರಹಸ್ಯ ಸರಿಯಾಗಿದ್ದು ಬಳಕೆದಾರ ರಹಸ್ಯ ತಪ್ಪಾಗಿದ್ದಾಗ ಸಂಘ ಇರುತ್ತದೆ ಮತ್ತು ಸುರಂಗ ಈಗಾಗಲೇ ಮೇಲಿದ್ದಾಗ PPP ಲಾಗಿನ್ ತಿರಸ್ಕರಿಸುತ್ತದೆ. ಎರಡೂ ಎರಡು ಬೇರೆ ಘಟನೆಗಳಿಂದ ಪರದೆಯ ಮೇಲೆ ಒಂದೇ ಸಂದೇಶ ನೀಡುತ್ತವೆ.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerಖಾಲಿ ಸಂಘ ಪಟ್ಟಿ ಬಳಕೆದಾರ ಪದರವನ್ನು ತಕ್ಷಣ ಹೊರಗಿಡುತ್ತದೆ, ಆದ್ದರಿಂದ ಗುಪ್ತಪದಕ್ಕಿಂತ ಮೊದಲು ಅದನ್ನು ಪರಿಶೀಲಿಸಿ. ಪುನರಾವರ್ತಿತ PPP ವೈಫಲ್ಯಗಳಿರುವ ಸ್ಥಾಪಿತ ಸಂಘವು ಇನ್ನೊಂದು ದಿಕ್ಕಿಗೆ, ಬಳಕೆದಾರ ಪದರ ಅಥವಾ ಅದರೊಳಗಿನ ದೃಢೀಕರಣ ಪ್ರೋಟೋಕಾಲ್ ಕಡೆಗೆ ತೋರಿಸುತ್ತದೆ. ಎರಡೂ ತೀರ್ಮಾನಗಳಲ್ಲಿ ಯಾವುದೂ ಕ್ಲೈಂಟ್ನ ದೋಷ ಪಠ್ಯದಿಂದ ಲಭ್ಯವಿಲ್ಲ.
ಗುಪ್ತಪದ ಮಾತ್ರದ ಪ್ರವೇಶ ವಾಸ್ತವವಾಗಿ ಯಾವುದನ್ನು ಅವಲಂಬಿಸಿದೆ
ಗುಪ್ತಪದ ಮಾತ್ರದ ಪ್ರವೇಶ L2TP, PPTP, SSTP ಮತ್ತು EAP ಇರುವ IKEv2 ಗೆ ಸಾಮಾನ್ಯ. WireGuard ನಲ್ಲಿ ಅಂತಹ ಆಯ್ಕೆಯೇ ಇಲ್ಲ, ಏಕೆಂದರೆ ಅದರ ಸಹವರ್ತಿಗಳು ಬಳಕೆದಾರರಲ್ಲ, ಕೀಗಳು. OpenVPN ಗೆ ಉತ್ತರ ಸರ್ವರ್ನ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರ ಅಗತ್ಯದಿಂದ ಬರುತ್ತದೆ: ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಗುಪ್ತಪದ ಎರಡನ್ನೂ ಬಯಸುವ ಗೇಟ್ವೇ ಕ್ಷೇತ್ರದಲ್ಲಿ ಏನೇ ಬರೆದರೂ ಗುಪ್ತಪದ-ಮಾತ್ರ ಕ್ಲೈಂಟ್ ಅನ್ನು ತಿರಸ್ಕರಿಸುತ್ತಲೇ ಇರುತ್ತದೆ.
ನಿಮಗೆ ಯಾವ ಘಟಕ ಬೇಕು ಎಂಬುದು ಅದೇ ಉತ್ತರದಿಂದ ಬರುತ್ತದೆ. IKEv2 ಅಡಿಯಲ್ಲಿ ಗುಪ್ತಪದ ಲಾಗಿನ್ EAP ಮಾತನಾಡುವ ಕ್ಲೈಂಟ್ ಬೇಕು, ಆದರೆ ಪ್ರಮಾಣಪತ್ರ ಲಾಗಿನ್ಗೆ ಕ್ಲೈಂಟ್ನ ಖಾಸಗಿ ಕೀ ಮತ್ತು ಸರ್ವರ್ನ ಸರಪಳಿ ಬೇಕು. ತಪ್ಪಾದದನ್ನು ಸ್ಥಾಪಿಸಿದರೆ ವೈಫಲ್ಯವು ರುಜುವಾತು ದೋಷದಂತೆ ಓದಲ್ಪಡುತ್ತದೆ, ಆದರೂ ಕಾಣೆಯಾದದ್ದು ದೃಢೀಕರಣ ವಿಧಾನವೇ.
ಒಂದು ವಿಷಯ ಬದಲಿಸಿ, ನಂತರ ಮತ್ತೆ ಪರೀಕ್ಷಿಸಿ
ಮೊದಲು ಮೂರು ಸತ್ಯಗಳನ್ನು ನಿರ್ಧರಿಸಿ: ಯಾವ ಪ್ರೋಟೋಕಾಲ್ ನಡೆಯುತ್ತಿದೆ, ಅದು ಎಷ್ಟು ರಹಸ್ಯಗಳನ್ನು ವ್ಯಾಖ್ಯಾನಿಸುತ್ತದೆ, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಯಾವುದು ಬಳಕೆದಾರರಿಗಲ್ಲದೆ ಯಂತ್ರಕ್ಕೆ ಸೇರಿದೆ. ಯಂತ್ರಗಳು ಮೊದಲ ಹಂತದಲ್ಲಿ ವಿಫಲವಾಗುತ್ತವೆ ಮತ್ತು ಜನರು ಎರಡನೆಯದರಲ್ಲಿ ವಿಫಲವಾಗುತ್ತಾರೆ, ಮತ್ತು ಈ ಎರಡನ್ನೂ ಗೊಂದಲಿಸುವುದೇ ಇಡೀ ಸಮಸ್ಯೆ.
ನಂತರ ನಿಖರವಾಗಿ ಒಂದು ವಿಷಯ ಬದಲಿಸಿ ಮತ್ತು ಅದೇ ಕ್ಲೈಂಟ್ನಿಂದ ಮತ್ತೆ ಪರೀಕ್ಷಿಸಿ. ಆ ಶಿಸ್ತು ಗೊಂದಲಮಯ ವೈಫಲ್ಯವನ್ನು ಮುಂದಿನ ವ್ಯಕ್ತಿಗೆ ವಿವರಿಸಬಹುದಾದ ಸರಿಪಡಿಸುವಿಕೆಯಾಗಿ ಬದಲಿಸುತ್ತದೆ, ಮತ್ತು ಅದು ಯಾರೂ ವಿವರಿಸಲಾಗದ ಕೆಲಸ ಮಾಡುವ ಸಂಪರ್ಕಕ್ಕಿಂತ ಹೆಚ್ಚು ಉಪಯುಕ್ತ.