IKEv2 교환이 성공한 뒤 인증에서 실패할 때: 어디를 봐야 하나

IKEv2 응답을 받은 클라이언트는 게이트웨이에 도달할 수 있고, 양측이 제안을 협상할 수 있으며, 초기 키 교환이 완료되었음을 입증한 것입니다. 그러나 누군가가 인증되었다는 것은 입증하지 못했습니다. 다음 교환은 신원, 인증서 또는 EAP를 운반하며, 연결은 보통 그 지점에서 멈춥니다. 어느 검사가 실패했는지 읽는 것이 진단의 전부이며, 오류 메시지만으로는 좀처럼 알 수 없습니다.

검사 1: 메시지가 아니라 단계를 읽으십시오

거부는 서버의 신원을 거부하는 클라이언트, 클라이언트의 증명을 거부하는 게이트웨이, 계정을 거부하는 외부 인증 서비스의 세 곳에서 올 수 있습니다.

각각은 다른 기계에 다른 로그 줄을 남기고, 각각 해결책이 다릅니다. 클라이언트 측에서 서버 인증서를 거부하는 것은 클라이언트의 신뢰 또는 이름 문제이고, 게이트웨이 측에서 클라이언트 인증서를 거부하는 것은 게이트웨이의 신뢰 문제이며, EAP 실패는 계정 또는 백엔드 문제입니다. 보이는 메시지는 보통 그중 하나에 대한 클라이언트의 요약이므로, 게이트웨이 로그가 클라이언트 로그만큼 중요합니다.

검사 2: 어떤 신원이 검사되었는가

클라이언트는 사용자 자격 증명이 제시되기 전에 서버 인증서나 기대하는 신원을 거부할 수 있으며, 작동하는 서버 주소가 그 검사를 대신하지는 않습니다. 클라이언트가 기대하는 식별자는 게이트웨이가 제시하는 것과 일치해야 합니다이것은 네트워크 사실이 아니라 구성 사실입니다.

strongSwan 용어로 그것은 클라이언트의 rightid와 반대편 게이트웨이 자체의 신원이며, 불일치는 EAP가 논의되기도 전에 실패합니다.

게이트웨이는 별도로 클라이언트 인증서, 키 증명 또는 계정 인증을 거부할 수 있으며, 이 셋은 서로 바꿀 수 없습니다. 사용자 암호를 재설정해도 장치 인증서가 갱신되지 않고, 장치 인증서를 다시 설치해도 잘못된 서버 신원은 고쳐지지 않습니다. 인증서 실패에는 먼저 시계를, 다음으로 신뢰 체인을, 마지막으로 기대하는 식별자를 확인하십시오. swanctl --list-certs는 양쪽 끝에서 각 측이 실제로 무엇을 보유하는지 보여 줍니다.

검사 3: EAP가 관련된 경우

클라이언트와 서버는 지원되는 방식을 합의해야 하고, 백엔드는 제공된 신원을 받아들여야 합니다.

사용자 이름에는 배포가 요구하는 도메인 접미사나 특정 계정 형식이 필요할 수 있으며, 그 형식은 추측이 아니라 문서화되어 있습니다. 운영자가 문서화한 필드를 제공하는 것이 변형을 시도하는 것보다 빠르고, 반복된 시도가 계정 잠금을 일으켜 원래 단계를 새로운 실패 뒤에 가리는 두 번째 문제도 피할 수 있습니다. 방식이 디렉터리에 대한 EAP-MSCHAPv2라면 실패는 VPN이 아니라 디렉터리에 속할 수 있습니다.

신원 검사를 비활성화하여 신원 문제를 시험하지 마십시오. 그것은 진단 가능한 실패를 진단 불가능한 것으로 바꾸고 연결을 이전보다 약하게 남깁니다.

검사 4: 로그인 성공 후에 일어나는 일

IKE_AUTH가 완료되면 CHILD_SA 협상이 어떤 트래픽 선택자를 설치할지 결정하며, 바로 그 지점에서 연결이 성공해도 아무것도 전달하지 못할 수 있습니다.

새로 작동하는 로그인은 이전에 인증 실패 뒤에 숨어 있던 선택자나 경로 문제를 드러내는 경우가 많습니다. 터널이 올라오는데도 응용 프로그램이 목적지에 도달하지 못하면, 다시 신원이 아니라 협상된 선택자와 경로를 보십시오. 그 시점에 신원 설정을 바꾸는 것은 잘못된 단계를 겨냥하며 보통 작동하는 로그인을 깨뜨립니다. swanctl --list-sas를 사용하면 IKE SA와 별도로 자식과 그 선택자를 확인할 수 있습니다.

검사 5: 지원팀에 무엇을 넘길까

정리된 타임라인과 정확한 거부는 전체 진단 내보내기보다 가치가 있으며, 내보내기에는 공유해서는 안 되는 개인 키나 자격 증명이 들어 있을 수 있습니다.

시간대와 함께 시각, 클라이언트와 게이트웨이 버전, 방식, 암호가 아니라 제시한 신원 문자열, 그리고 그것을 거부한 정확한 단계를 기록하십시오. strongSwan IKEv2 구성 문서는 이러한 결과를 결정하는 신원 및 EAP 설정을 설명하며, 필드를 바꾸기 전에 읽어야 할 참고 자료입니다. 그다음에는 캐시된 세션이 이전 구성에 대해 알려 주므로 한 번에 하나만 바꾸고 새 연결을 다시 시험하십시오.