L2TP/IPsec иштебейт: IPsec, туннелдик аутентификация же PPP кирүүсүн бөлүңүз

Бир L2TP/IPsec байланышынын ичинде үч нерсе аутентификациядан өтөт, алардын бирөө гана чалып жаткан адамга тиешелүү. IPsec туннелдин четки чекиттерин далилдейт, L2TP башкаруу байланышы өзүнүн сыры менен өнөктөштөрдү кайра далилдеши мүмкүн, андан кийин PPP сессиянын ичиндеги колдонуучунун эсебин далилдейт. Кайсы баскычта болбосун ийгиликсиздик кардардын диалогунда жөнөкөй кирүү катасы болуп көрүнөт, ал эми сервердин журналында такыр башкача көрүнөт. Баскычтарды ирети менен өтүп, биринчи ийгиликсиз болгон жерде токтоңуз, анткени текшерилбеген баскычтан төмөнкү ар бир баскыч да текшерилбеген.

Үч аутентификация баскычы, үч түрдүү инсандык

IPsec четки чекиттер кимге таандык экенин алдын ала бөлүшүлгөн ачкыч же сертификат аркылуу далилдейт. Бул инсандык машиналарга же шлюздарга таандык, клавиатуранын алдындагы адамга эч качан таандык эмес. Өнөктөштөр бул баскычта макулдаша албаса, бир да L2TP пакети алмашылбайт.

L2TP башкаруу байланышы экинчи, өзүнчө чакырык-жооп алмашуусун кошо алат, аны эки четинде тең болушу керек болгон жалпы сыр башкарат.

RFC 2661 ошол башкаруу байланышынын аутентификациясын милдеттүү эмес кылат, бул эле ката эки серверде эмне үчүн башка симптомдорду берерин түшүндүрөт. Туннелдин сырын эч качан жөндөбөгөн жайылтуу баскычты толугу менен өткөрүп жиберет; аны бир гана тарапта жөндөгөн жайылтуу PPP сунушталганга чейин эле ийгиликсиз болот. Андан кийин PPP колдонуучуну PAP, CHAP же MSCHAPv2 аркылуу аутентификациялайт жана атты жергиликтүү, chap-secrets ичинде же RADIUSта болушу мүмкүн болгон эсеп сактоочуга берет. Ошол учурдагы туура эмес сырсөз сизди дагы эле иштеп жаткан туннель жана ийгиликсиз сессия менен калтырат.

Конфигурацияны оңдоодон мурун токтой турган жерди окуңуз

Статус чыгарылышы strongSwanдыкыбы же Libreswanдыкыбы экенин билүү үчүн ipsec --version менен баштаңыз. Андан кийин кардардын диалогун эмес, сервердин журналын окуңуз, анткени сервер кайсы баскыч баш тартканын жазат.

Адатта бир сап билетти чечет: IKE же сунуштар боюнча нааразылык биринчи баскыч, башкаруу байланышы тууралуу билдирүү экинчи баскыч, ал эми PPP ыкмасынан же эсептен баш тартуу үчүнчү баскыч. Ошол сапты убакыт белгиси менен билетке көчүрүңүз. Кардар тарабынан божомолдоо сизде мурунтан бар жалгыз далилди текке кетирет.

Ачкыч материалын жана сырсөздөрдү ошол чаптоодон тышкары кармаңыз; баскычтын аталышы ишти багыттайт, ал эми жарыя болгон алдын ала бөлүшүлгөн ачкыч билетти начарыраак кесепеттер менен кайра ачат.

Биринчи баскыч: IPsecтин ассоциациясы барбы?

strongSwanда ipsec statusall же Libreswanда ipsec whack --status иштетип, нөлгө барабар эмес эсептегичтери бар орнотулган бала ассоциацияны издеңиз. ip xfrm state экөөндө тең ядронун көрүнүшүн көрсөтөт. Эсептегичтери өсүп жаткан орнотулган SA жупү биринчи баскыч бүттү жана уланта аласыз дегенди билдирет.

Ассоциациянын такыр жоктугу өнөктөштүн дарегине, сунуштар топтомуна же алдын ала бөлүшүлгөн ачкычка багыттайт, кээде UDP 500дү кайра жазып, UDP 4500дү таштаган түзмөккө да багыттайт. Орношуп, бир нече секунддан кийин жоголгон ассоциация адатта эки четиндеги жашоо узактыгынын дал келбестиги, ал эми эсептик маалыматтардын көйгөйү эмес. Бир нерсени кайра терирден мурун эки тарап тең бирдей шифрлоо жана хэш сунуштарын тизмелеп жатабы, текшериңиз. Эгер жок болсо, эч бир ачкыч эч качан иштебейт.

Ассоциация жок кезде токтоңуз. Ошол учурда PPP параметрлерин оңдоо эч нерсени өзгөртпөйт жана чыныгы бузуктукту кийинки адамдан жашырат.

Экинчи баскыч: L2TP башкаруу байланышы аутентификациядан өттүбү?

IPsec иштеп баштагандан кийин, L2TP демонунун орнотулган абалга жеткен башкаруу байланышын көзөмөлдөңүз, анткени PPP анга чейин баштала албайт. Башкаруу байланышындагы баш тартуу туннелдин сыры четтердин ортосунда башка экенин же бир чет экинчиси эч качан жибербеген сырды талап кылаарын билдирет. Кардарлар көбүнчө shared secret деп белгиленген бир талааны көрсөтөт, ал адатта L2TPге эмес, IPsecке таандык. Аны толтуруу туннелдин сырын жөндөбөйт, ал эми тазалоо аны өчүрбөйт.

Эгер эки тараптын экөө тең туннелдин сырын жөндөбөгөн болсо, бул баскычты өткөрүп жиберип, башкаруу байланышынын ийгиликсиздигин жеткиликтүүлүк маселеси катары караңыз. UDP 1701 демонго жетерин жана эки чет тең бирдей инкапсуляция боюнча макулдашканын ырастаңыз. Ошол эки шарттын бирине жазылган брандмауэр эрежеси жарым ачылган байланыштын кеңири таралган себеби.

PPP боюнча сүйлөшүүнү баштаган сессия гана туннелдик баскычтан чынында өткөн.

Үчүнчү баскыч: PPP эсептен баш тартып жатабы?

PPPнин ийгиликсиздиги сырттан башкача көрүнөт: туннель орнотулду, сессия башталат, ал эми демон аутентификация ыкмасынын ийгиликсиздигин же эсептен баш тартууну жазат. Ошол билдирүүдө аталган ыкманы окуңуз. PAP жана CHAP ар башка себептерден ийгиликсиз болот, ал эми бирөөнөн баш тарткан сервер ошону гана сунуштаган кардардан да баш тартат.

Linux серверинде демон PPPге берген параметрлер файлын, адатта /etc/ppp/options.xl2tpd, текшерип, кайсы ыкмалар кабыл алынарын жана эсептер кайда чечилерин ырастаңыз. RADIUSта бар, бирок жергиликтүү сырлар файлында жок ат таза ийгиликсиз болот жана туура эмес сырсөзгө окшошот. Андан кийин кардар сервер кабыл алган ыкманы сунуштап жатабы, сервер сүйлөшүүдөн баш тарткан күчтүүрөөк ыкманы эмес экенин текшериңиз. Бул баскычты оңдоо үчүн алдын ала бөлүшүлгөн ачкычты өзгөртүү түштөн кийинки убакытты текке кетирет жана эч нерсени өзгөртпөйт.

Сессия акыры көтөрүлгөндө, даректерди бөлүштүрүү, DNS жана маршруттар али текшерилген жок, жана ар бири өзүнүн ыкмасы менен үнсүз ийгиликсиз болот. Жазууларыңызда үч катмарды өзүнчө кармаңыз: туура ачкыч жана туура эмес эсеп дайыма ийгиликсиз болот, ал эми бир катмарды оңдоо эч качан экинчисин оңдобойт.