공유 시크릿인가 사용자 로그인인가: L2TP/IPsec의 어느 필드가 실패했는가?

한 사무실이 모든 노트북에 같은 IPsec 시크릿을 배포해도 각자는 개별 계정으로 로그인하므로, «키가 맞다»와 «비밀번호가 맞다»가 동시에 참인데도 로그인이 실패할 수 있습니다. L2TP와 IPsec은 서로 다른 단계에서 서로 다른 주체를 인증합니다. 두 계층을 비교하고 둘을 구분하는 오류 코드를 읽는 편이 두 값을 다시 바꾸는 것보다 대부분의 티켓을 빨리 닫습니다. 단계는 서로 바꿀 수 없으며, 눈앞의 메시지가 이미 어느 쪽이 작동 중인지 말해 줍니다.

두 계층, 두 가지 신원

IPsec 피어 인증이 먼저 실행됩니다. 클라이언트와 게이트웨이는 터널 페이로드가 보호되기 전에 미리 공유한 키나 인증서로 서로의 신원을 증명합니다. L2TP 세션 내부의 PPP 교환은 그다음에 실행되며, 바로 거기서 사용자 이름과 비밀번호가 서버의 계정 저장소와 대조됩니다.

단계가 독립적이므로 유효한 사용자 계정은 잘못된 IPsec 키를 구할 수 없습니다, 올바른 키도 만료된 비밀번호를 구할 수 없습니다. 티켓에 둘을 따로 적으면 진단은 보통 단계를 언급하는 첫 로그 줄에서 나옵니다.

공유 시크릿이 피어를 증명한다

미리 공유한 키는 게이트웨이와 거기에 연결하는 모든 클라이언트가 보유한 그룹 자격 증명입니다. 피어가 키를 안다는 사실을 확립하며, IKE는 그로부터 연결을 보호하는 키를 유도합니다. 그 교환 어디에도 키보드 앞의 사람을 식별하는 정보는 없습니다. 같은 터널에 두 번째 사용자 수준 로그인이 존재하는 이유가 바로 이것입니다.

그 설계에는 폐기에 관한 실무적 결과가 있습니다. 노트북 한 대를 잃으면 그것을 쓰는 모든 기기에서 시크릿을 교체해야 하지만, 배포가 인증서로 옮겨 가면 나머지를 건드리지 않고 한 기기만 제거할 수 있습니다. 그 맞바꿈은 피해 범위에 대한 관리 작업입니다.

프로필에 입력하는 키는 스크린숏과 채팅으로 가장 쉽게 유출되는 자격 증명이기도 합니다. 정확히 그것이므로 개인 비밀번호가 아니라 공유 인프라 자료로 다루세요.

로그인은 PPP에 속한다

L2TP 세션 내부에서 PPP는 인증을 협상하고 입력한 값 쌍을 서버에 검증해 달라고 요청합니다. Windows에서는 프로필이 요구하는 것과 같은 사용자 이름과 비밀번호이고, 라우터에서는 PPP 프로필이 참조하는 값입니다. 검증 대상은 계정 저장소이며 키가 아닙니다. 두 사람이 노트북과 키를 공유해도 이 단계에서는 구분됩니다.

사용자 인증이므로 일반적인 계정 정책이 모두 적용됩니다: 만료된 비밀번호, 잠긴 계정, 전화 접속 권한, 또는 도메인을 포함해야 하는 이름입니다. 오류 691은 그 조합을 거부로 보고하므로, 무언가를 다시 입력하기 전에 서버의 회계 기록을 읽으세요.

오류가 필드를 고르게 하라

오류 789는 보안 계층을 지목하고 IPsec 단계를 가리킵니다. 양쪽의 미리 공유한 키가 정확히 일치하는지, 게이트웨이가 기대하는 피어 신원이 클라이언트가 보내는 것과 일치하는지, 클라이언트가 다른 유형이 아니라 L2TP/IPsec용으로 구성되었는지 확인하세요.

오류 691은 자격 증명을 지목하고 PPP를 가리킵니다. 둘을 한꺼번에 바꾸면 읽고 있던 증거가 파괴되므로, 시크릿을 바꾸기 전에 계정 상태와 정확한 이름 형식을 확인하세요.

터널이 올라오는데도 트래픽이 계속 멈추면 인증 필드 편집을 완전히 중단하세요. 주소 풀, 클라이언트 서브넷으로 돌아가는 경로, MTU를 보세요 — 두 계층 비교는 장애가 아직 그 안에 있을 때만 도움이 됩니다.