Жалпы сыр же колдонуучунун кирүүсү: L2TP/IPsecтин кайсы талаасы ишке ашкан жок?
Алдын ала бөлүнгөн ачкыч шерикти далилдейт, ал эми PPP колдонуучу аты жана сырсөзү адамды. Ката коду эки катмардын кайсынысы бузулганын айтат.
Бир кеңсе ар бир ноутбукка бирдей IPsec сырын бере алат, ал эми ар бир адам өзүнүн жеке эсеби менен кирет, ошондуктан «ачкыч туура» жана «сырсөз туура» экөө тең чын болуп, кирүү баары бир ишке ашпашы мүмкүн. L2TP жана IPsec ар кайсы баскычта ар кайсы тараптарды аутентификациялайт. Эки катмарды салыштыруу жана аларды бөлүп турган ката коду бул билеттердин көбүн эки маанини кайра алмаштыруудан тезирээк жабат. Баскычтар бири-бирин алмаштырбайт, жана алдыңыздагы билдирүү кайсынысы иштеп жатканын айтып турат.
Эки катмар, эки башка инсандык
Алгач IPsec шеригинин аутентификациясы иштейт. Клиент менен шлюз туннелдин кандайдыр бир жүгү корголгонго чейин, алдын ала бөлүнгөн ачкыч же сертификат менен бири-бирине ким экенин далилдейт. L2TP сессиясынын ичиндеги PPP алмашуусу андан кийин жүрөт, жана дал ошол жерде сиздин колдонуучу атыңыз менен сырсөзүңүз сервердин эсеп кампасына каршы текшерилет.
Баскычтар көз карандысыз, ошондуктан жарактуу колдонуучу эсеби туура эмес IPsec ачкычын куткара албайт, ал эми туура ачкыч мөөнөтү өткөн сырсөздү куткара албайт. Экөөнү билетте өз-өзүнчө жазыңыз, жана диагноз адатта баскычты атаган биринчи журнал сабынан чыгат.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Жалпы сыр шерикти далилдейт
Алдын ала бөлүнгөн ачкыч — шлюзда жана ага туташкан ар бир клиентте бар топтук күбөлүк. Ал шериктин ачкычты билээрин аныктайт, жана андан IKE байланышты коргогон ачкычтарды алат. Бул алмашууда клавиатуранын алдындагы адамды аныктоочу эч нерсе жок. Ошол эле туннелде экинчи, колдонуучу деңгээлиндеги кирүү бар болушунун баары ушунун себебинен.
Бул долбоордун жокко чыгаруу үчүн практикалык натыйжасы бар. Бир ноутбуктан айрылуу аны колдонгон ар бир түзмөк үчүн сырды айландырууну билдирет, эгер жайылтуу сертификаттарга өтпөсө, анда бир түзмөктү калгандарына тийбестен алып салууга болот. Алмашуу — административдик күч жана зыяндын радиусу.
Профилге терилген ачкыч да экран сүрөттөрү жана чат аркылуу эң оңой агып кетүүчү күбөлүк. Ага жеке сырсөз катары эмес, жалпы инфраструктура материалы катары мамиле кылыңыз, анткени ал дал ошол.
Кирүү PPPге таандык
L2TP сессиясынын ичинде PPP аутентификация боюнча сүйлөшөт жана серверден сиз терген маанилердин жупун текшерүүнү суранат. Windowsта бул профиль талап кылган ошол эле колдонуучу аты жана сырсөз, ал эми маршрутизатордо — PPP профили шилтеме кылган нерсе. Ал эсеп кампасына каршы текшерилет, ачкычка каршы эмес. Эки адам ноутбук менен ачкычты бөлүшүп, бул баскычта баары бир айырмаланышат.
Бул колдонуучу аутентификациясы болгондуктан, эсептин бардык кадимки саясаттары колдонулат: мөөнөтү өткөн сырсөз, кулпуланган эсеп, телефон аркылуу кирүү уруксаты же домен алып жүрүүчү ат. 691 катасы бул айкалышты четке кагылган деп билдирет, ошондуктан бир нерсени кайра терүүдөн мурун сервердин эсеп жазуусун окуңуз.
Ката талааны өзү тандасын
789 катасы коопсуздук катмарын атайт жана IPsec баскычына көрсөтөт. Эки тараптагы алдын ала бөлүнгөн ачкыч так дал келерин, шлюз күткөн шерик инсандыгы клиент жибергенге туура келерин жана клиент башка түргө эмес, L2TP/IPsecке конфигурацияланганын ырастаңыз.
691 катасы күбөлүктөрдү атайт жана PPPге көрсөтөт. Сырды өзгөртүүдөн мурун эсептин абалын жана аттын так форматын текшериңиз, анткени экөөнү тең өзгөртүү сиз окуп жаткан далилди жок кылат.
Туннель көтөрүлүп, трафик дагы эле токтоп калса, аутентификация талааларын оңдоону толугу менен токтотуңуз. Дарек пулуна, клиенттин ички тармагына кайтуучу маршрутка жана MTUга көңүл буруңуз: эки катмарды салыштыруу бузулуу дагы алардын ичинде турганда гана жардам берет.