L2TP/IPsec PSK четке кагылды: адегенде диалог, анан файлдар

Сиз администратордун билдирүүсүнөн алынган алдын ала бөлүшүлгөн ачкычты NetworkManager диалогуна чаптайсыз, аны көрсөтүү үчүн белгини коёсуз жана ал тамга-тамгасына дал келет. Бирок байланыш туннель көтөрүлө электе эле аутентификация катасы менен бүтөт. Муну биринчи көргөндө ачкыч туура эмес деп ойлогом; бирок андай эмес болчу. Демон чындыгында эмнени окуганын дагы эки нерсе чечет: плагин ушул байланыш үчүн жаза турган жашыруун файл жана маани диалогдон өзгөрүүсүз өттүбү же жокпу.

Төмөнкү жол ачкычты талаадан файлга чейин көзөмөлдөйт жана дал ошол ирет анын кайда жоголгонун айтат. Муну иштебей калган машинада жасаңыз, иштеп турганда эмес, анткени бул эки машинанын айырмасы адатта файлдардын жайгашуусу, ачкыч эмес.

Диалогдон баштаңыз, бирок талаага ишенбеңиз

Байланыштын IPsec өтмөгүн ачып, ачкычты чаптоонун ордуна кайра териңиз. Чат билдирүүсүнөн, PDF'тен же сырсөз менеджеринен көчүрүлгөн ачкычтын аягында талаа көрсөтпөгөн сап үзүлүшү болушу мүмкүн, ал эми көрүнгөн тамгалар дагы эле туура көрүнөт.

Сырсөздү көрсөтүү баскычын басып, саптын ортосуна эмес, аягына караңыз. Эгер курсор тексттин астында бош сап калтырса, аны өчүрүп, акыркы тамганы кайра териңиз. Ошол бир түзөтүү ушундай билдирүүлөрдүн таң каларлык бөлүгүн чечет жана кандайдыр бир журналды окугандан арзан.

Эгер ачкыч узун саптарды бүктөгөн билет системасынан келсе, бүктөбөгөн канал аркылуу сураңыз. Эки сапты көз менен салыштыруунун ордуна узундуктарын администратор менен салыштырыңыз; бүктөө жеринде жоголгон тамга пропорционалдуу шрифтте көрүнбөйт.

Ачкычты /etc/ipsec.d ичине көзөмөлдөңүз

Плагин PSK'ны IPsec демонуна буйрук сабындагы аргумент катары эч качан бербейт. Анын ордуна маанини жашыруун файлда сактайт жана демон ошол файлды киргизишин уюштурат, эгер жок болсо /etc/ipsec.secrets ичине include сабын кошот. Диалог кармап турган нерсе — ошол жаралган файлга киргизүү, колдонулуп жаткан маани эмес.

Бир нерсени өзгөртүүдөн мурун эмне бар экенин тизмелеңиз:

ipsec --version
sudo ls -l /etc/ipsec.d/*.secrets /etc/ipsec.d/ipsec.nm-l2tp.secrets 2>/dev/null
sudo grep -n "include" /etc/ipsec.secrets

Плагиндин эски чыгарылыштары ар бир байланышка бир файл жазышчу, ал байланыштын UUID'и менен аталган, мисалы /etc/ipsec.d/nm-l2tp-ipsec-<uuid>.secrets. Апплетте профилди өчүрүү ошол файлды ишенимдүү өчүрбөйт. Эгер мурунку сервердин эски файлы дагы эле дискте болуп, дагы эле киргизилсе, демон сиз эми колдонбогон профилге таандык жашыруун нерсени тандап алышы мүмкүн, көрүнгөн талаа туура болсо да байланыш ишке ашпайт.

1.2.12 өзгөртүүсү жаңыртууларга эмне алып келгенин түшүнүңүз

Плагиндин 1.2.12 версиясы ар бир байланышка арналган жашыруун файлдарды бир жалпы файл менен алмаштырды, /etc/ipsec.d/ipsec.nm-l2tp.secrets. Жаңыртуу UUID боюнча эски файлдарды тазалабайт жана бар include /etc/ipsec.d/*.secrets сабы аларды дагы эле киргизет. 1.2.16 версиясы демейки сунуштарды иштетүүнү өзгөрттү, жашыруундардын жайгашуусун эмес.

Бул тарых окшош көрүнгөн профили бар эки машина эмне үчүн башкача жүрүм-турум көрсөтөрүн түшүндүрөт. Ачкыч бирдей; демон киргизген файлдардын топтому андай эмес. Жетим файлды алып салганда, аны өчүрүүнүн ордуна четке жылдырыңыз, байланышты ырастаңыз, анан иштеген абал жазылгандан кийин өчүрүңүз. Атын өзгөртүү эски маанини калыбына келтирүүгө боло тургандай сактайт, эгер кемчилик башка жерде болуп чыкса.

Сактоо форматы кармай албаган тамгаларды бөлүңүз

Жалпы жашыруун сабы тууралуу strongSwan документи мааниде жаңы сап же кош тырмак тамгасы болбошу керектигин айтат. Документтен чапталган ачкыч кадимки диалогдо эч кандай көрүнүүчү айырмасыз экөөнү тең алып жүрүшү мүмкүн.

1.2.12'ден бери сакталган маани жөнөкөй текст эмес. Плагин PSK'ны файлга жетпестен мурун base64 менен коддойт жана чыгарылыш жазуулары ошол коддоону ачкычта кош тырмактын эми кабыл алынышынын себеби катары көрсөтөт. Ошондуктан талаага терилген тырмак берилүүчү; бул ар бир башкаруу тамгасына туура келбейт.

Узундук — башка чектөө. L2TP/IPsec программалык камсыздоосунда универсалдуу минимум жок: кээ бир кардарлар жыйырма тамгадан кыска ачкычтарды кабыл алышат, кээ бир шлюздар минимумду талап кылат. Кыска ачкыч четке кагылса, эреже сервер саясатына же ошол кардардын текшерүүсүнө таандык, ал эми жергиликтүү түрдө бир нерсени көтөрүү аны өзгөртпөйт.

Аутентификациянын кайсы катмары ишке ашпаганын окуңуз

Алгач ipsec --version иштетиңиз, анткени strongSwan менен Libreswan ар башка файл аттарын жана синтаксисти колдонот, бирине берилген кеңеш экинчисине зыян келтириши мүмкүн. Анан ишке ашпоо баскычын кардардын билдирүүсүнөн же демондун журналынан окуңуз: алдын ала бөлүшүлгөн ачкыч тууралуу даттануу четке кагылган колдонуучу аты жана сырсөздөн башка окуя.

PSK туннелдин учтарын аутентификациялайт. Колдонуучу аты жана сырсөз L2TP ичиндеги адамды аутентификациялайт жана PPP алар менен IPsec бирикмеси көтөрүлгөндөн кийин иштешет. Туура PSK жаңылыш аккаунт менен да ишке ашпайт, ал эми аккаунтту алмаштыруу демон эч качан туура окубаган ачкычты оңдобойт.

Билетти жапканда төртөөнү тең жазыңыз: плагиндин версиясы, колдонулуп жаткан жашыруун файл, ачкыч кайра терилдиби же чапталдыбы, жана катада аталган катмар. Ошондо бул жолду кийин кайталаган ар ким иштеген жана ишке ашпаган машиналардын айырмасына түз өтө алат.