Бир ката, үч сыр: кайсы VPN кирүү маалыматы ишке ашкан жок?
Кардар ар бир этап үчүн бир ката көрсөтөт. Эч ким текшербеген сырсөздү баштапкы абалга келтирүүдөн мурун бирикмени, колдонуучу алмашуусун жана ыкманы окуңуз.
«Аутентификация ишке ашкан жок» деген билдирүү сервер сертификатына, машинанын алдын ала бөлүшүлгөн ачкычына же колдонуучунун сырсөзүнө багытталышы мүмкүн. Кайсынысы экени протоколго жараша, анткени ар бир протокол сырлардын башка топтомун аныктайт. Туура эмесин баштапкы абалга келтирсеңиз, ката өзгөрүүсүз калат. Чыгуу жолу — бир нерсени оңдоодон мурун протокол канча далил талап кылаарын аныктоо.
Карама-каршы багыттарды көрсөткөн эки далил
Туннель туура дарбазага жеткенин, ал эми өзүнчө колдонуучунун ким экенин жооп бериши керек. Дарбаза далили машина деңгээлинде: сервер сертификаты, алдын ала бөлүшүлгөн ачкыч же статикалык ачык ачкыч. Колдонуучу далили адам деңгээлинде: сырсөз, токен, кардар сертификаты же такыр эч нерсе. Булар ишенимдин карама-каршы багыттары жана башка материалды сарптайт.
IKEv2 дарбаза далилин IKE_AUTH ичинде аткарат, ал эми EAP колдонулганда андан кийин колдонуучу далилин өзүнчө алмашууда жүргүзөт. IKEv2 спецификациясы аларды өзүнчө бөлүмдөр катары сактайт, бул бир билдирүү эки раундду тең камтыганда кайдан кароо керектигинин күчтүү белгиси.
Билдирүүнү эмес, этапты окуңуз
Кайсы этап ишке ашпаганына карабастан кардар бир ката сабын көрсөтөт, ошондуктан саптын өзү дээрлик эч кандай маалымат ташыбайт. Маалымат ташыган нерсе — ар бир этапта текшере алган абал: бирикме барбы, колдонуучу алмашуусу башталдыбы жана кардар дарбаза каалаган ыкманы сунуштадыбы. Таблица этаптарды протоколдун аты боюнча эмес, дал ушундай тартипте койот.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Колдонуучу кайра киргизе алган маалыматка экинчи сап гана тиешелүү. Калган үчөө конфигурация фактылары, жана дал ушул дал келбестик ушундай отчёттордун көбү эч нерсени өзгөртпөгөн сырсөздү баштапкы абалга келтирүү менен бүтүшүнүн себеби. Кайсы талаага тийүүдөн мурун далилиңизге туура келген сапты окуңуз.
Эки сырлуу протокол колун ачат
L2TP IPsec үстүндө санды көрүнүктүү кылат, анткени эки текшерүү ар башка процесстерде жүрөт. IPsec катмары адегенде алдын ала бөлүшүлгөн ачкыч же сертификат менен көтөрүлүшү керек, ошондон кийин гана анын ичиндеги PPP колдонуучу кирүүсүн аракет кылат.
Машинанын сыры туура эмес болсо, бирикме түзүлбөйт жана колдонуучунун маалыматы эч качан сыналбайт. Машинанын сыры туура, ал эми колдонуучунун сыры туура эмес болсо, бирикме бар жана туннель мурун эле көтөрүлгөндөн кийин PPP кирүүнү четке кагат. Экөө тең экранда эки башка окуядан бирдей билдирүү чыгарат.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerБош бирикмелер тизмеси колдонуучу катмарын дароо четтетет, ошондуктан аны сырсөздөн мурун текшериңиз. Кайталанма PPP ийгиликсиздиктери бар орношкон бирикме каршы багытка, колдонуучу катмарына же анын ичиндеги аутентификация протоколуна багыттайт. Эки тыянактын бири да кардардын ката текстинен жеткиликсиз.
Сырсөз менен гана кирүү чындыгында эмнеге байланыштуу
Сырсөз менен гана кирүү L2TP, PPTP, SSTP жана EAP бар IKEv2 үчүн кадимки. WireGuard мындай тандоого такыр ээ эмес, анткени анын шериктери колдонуучулар эмес, ачкычтар. OpenVPN үчүн жооп сервердин кардар сертификатына болгон талабынан келет: сертификатты да, сырсөздү да талап кылган дарбаза талаага эмне жазылса да сырсөз менен гана кардарды четке кагууну улантат.
Кайсы компонент керек экени ошол эле жооптон келип чыгат. IKEv2 астында сырсөз менен кирүү EAP сүйлөгөн кардарды талап кылат, ал эми сертификат менен кирүү кардардын жеке ачкычын жана сервердин чынжырын талап кылат. Туура эмесин орнотсоңуз, ийгиликсиздик кирүү маалыматынын катасындай окулат, бирок жетишпеген нерсе — аутентификация ыкмасынын өзү.
Бир нерсени өзгөртүп, анан кайра текшериңиз
Адегенде үч фактыны аныктаңыз: кайсы протокол иштеп жатат, ал канча сыр аныктайт жана алардын кайсынысы колдонуучуга эмес, машинага таандык. Машиналар биринчи этапта, ал эми адамдар экинчисинде ийгиликсиз болот, жана ушул экөөнү аралаштыруу — бул маселенин баары.
Анан так бир нерсени өзгөртүп, ошол эле кардардан кайра текшериңиз. Бул тартип баш аламан ийгиликсиздикти кийинки адамга түшүндүрүп бере турган оңдоого айландырат, жана бул эч ким түшүндүрө албаган иштеген байланыштан пайдалуураак.