IKEv2 алмашуусу иштейт, анан аутентификация ишке ашпайт: кайдан издөө керек

IKEv2 жообун алган кардар шлюзге жетүү мүмкүн экенин, эки тарап тең сунуш боюнча сүйлөшө аларын жана баштапкы ачкыч алмашуу аяктаганын далилдеди. Ал бирөөнүн аутентификацияланганын далилдеген жок. Кийинки алмашуу идентификацияларды, сертификаттарды же EAPны алып жүрөт, жана байланыш көбүнчө ошол жерде токтойт. Ушул текшерүүлөрдүн кайсынысы ишке ашпаганын окуу — бүт диагностика, ал эми ката билдирүүсү өзү муну сейрек айтат.

Текшерүү 1: билдирүүнү эмес, баскычты окуңуз

Баш тартуу үч жерден келиши мүмкүн: кардар сервердин идентификациясын четке кагат, шлюз кардардын далилин четке кагат жана сырткы аутентификация кызматы эсепти четке кагат.

Ар бири башка машинада башка журнал саптарын жаратат жана ар биринин оңдоосу башка. Кардар тараптан сервер сертификатын четке кагуу — кардардагы ишеним же ат коюу маселеси; шлюз тараптан кардар сертификатын четке кагуу — шлюздөгү ишеним маселеси; EAP ишке ашпай калышы — эсеп же бэкенд маселеси. Сиз көргөн билдирүү адатта кардардын ошолордун бири тууралуу корутундусу, ошондуктан шлюздун журналы кардардын журналындай эле маанилүү.

Текшерүү 2: кайсы идентификация текшерилди

Кардар колдонуучунун кандайдыр бир далилдери сунушталганга чейин сервердин сертификатын же күтүлгөн идентификациясын четке кага алат, жана иштеген сервер дареги бул текшерүүнүн ордун баспайт. Кардар күткөн идентификатор шлюз сунуштаганга дал келиши керек, бул тармактык эмес, конфигурациялык факт.

strongSwan терминдеринде бул кардардагы rightid жана экинчи тараптагы шлюздун өз идентификациясы, жана дал келбестик EAP талкуулана электе эле ишке ашпайт.

Шлюз өзүнчө кардардын сертификатын, анын ачкыч далилин же эсеп аутентификациясын четке кага алат, жана бул үчөө бири-бирине алмаштырылбайт. Колдонуучунун сырсөзүн кайра коюу түзмөк сертификатын жаңыртпайт, ал эми түзмөк сертификатын кайра орнотуу туура эмес сервер идентификациясын оңдобойт. Сертификат ишке ашпаган учурларда адегенде саатты, анан ишеним чынжырын, акырында күтүлгөн идентификаторду текшериңиз; сааты бир нече мүнөткө четтеп кеткен кардар ишеним бузулушуна окшош жарактуулук текшерүүсүнөн өтпөйт. swanctl --list-certs эки учта тең ар бир тарап иш жүзүндө эмнени кармаарын көрсөтөт.

Текшерүү 3: эгер EAP катышса

Кардар менен сервер колдоого алынган ыкма боюнча макулдашууга тийиш, ал эми бэкенд берилген идентификацияны кабыл алышы керек.

Колдонуучунун атына домендик уланды же жайылтуу талап кылган белгилүү эсеп форматы керек болушу мүмкүн, жана формат болжолдоого эмес, документтештирилген. Оператордун документтештирилген талааларын берүү варианттарды сынап көрүүдөн тезирээк жана экинчи маселени болтурбайт: кайталанган аракеттер эсепти кулпулоого алып келиши мүмкүн, ал эми андан кийин баштапкы баскыч жаңы катанын артына жашырылат. Эгер ыкма каталогго каршы EAP-MSCHAPv2 болсо, ката VPNге эмес, каталогго таандык болушу мүмкүн.

Идентификация текшерүүлөрүн өчүрүү менен идентификация маселелерин сынабаңыз. Бул диагностикалоого боло турган катаны диагностикалоого болбой турганга айландырат жана байланышты мурункудан алсыз калтырат.

Текшерүү 4: ийгиликтүү кирүүдөн кийин эмне болот

IKE_AUTH бүткөндөн кийин, CHILD_SA сүйлөшүүсү кайсы трафик тандагычтары орнотуларын чечет, жана дал ошол жерде байланыш ийгиликтүү болуп, бирок эч нерсе өткөрбөшү мүмкүн.

Жаңыдан иштей баштаган кирүү мурун аутентификация катасынын артында жашырылган тандагыч же маршрут маселесин көп ачып берет. Эгер туннель көтөрүлсө да колдонмо өз бара турган жерине жете албаса, кайра идентификацияга эмес, сүйлөшүлгөн тандагычтарга жана маршруттарга караңыз. Ошол учурда идентификация жөндөөлөрүн өзгөртүү туура эмес баскычты көздөйт жана адатта иштеп жаткан кирүүнү бузат. swanctl --list-sas менен ырастаңыз, ал балдарды жана алардын тандагычтарын IKE SAдан өзүнчө көрсөтөт.

Текшерүү 5: колдоо кызматына эмнени берүү керек

Тазаланган хронология жана так баш тартуу толук диагностикалык экспорттон кымбат, ал эми экспортто бөлүшүүгө болбой турган жеке ачкычтар же далилдер болушу мүмкүн.

Убакытты убакыт алкагы менен, кардар жана шлюз версияларын, ыкманы, сырсөздүн ордуна сунушталган идентификация сабын жана аны четке каккан так баскычты жазыңыз. strongSwan IKEv2 конфигурация документтери бул натыйжаларды чечкен идентификация жана EAP жөндөөлөрүн сүрөттөйт, жана талааны өзгөртүүдөн мурун окула турган шилтеме ушул. Анан бир нерсени өзгөртүп, жаңы туташууну кайра сынаңыз, анткени кэштенген сессия сизге эски конфигурация тууралуу айтып берет.