IKEv2-Austausch klappt, duerno schléit d’Authentifizéierung fehl: wou sichen

E Client, deen eng IKEv2-Äntwert kritt, huet bewisen, datt de Gateway erreechbar ass, datt béid Säiten iwwer e Virschlag verhandele kënnen an datt den initiale Schlüsselaustausch ofgeschloss ass. Hien huet awer net bewisen, datt iergendeen authentifizéiert ass. Den nächsten Austausch dréit Identitéiten, Zertifikater oder EAP, an do bleift d’Verbindung normalerweis stoen. D’Liesen, wéi eng vun dësen Kontrollen duerchgefall ass, ass déi ganz Diagnos, an d’Fehlermeldung eleng seet et selten.

Kontroll 1: liest d’Phas, net d’Meldung

E Refus kann aus dräi Plaze kommen: de Client, deen d’Identitéit vum Server refuséiert, de Gateway, deen de Beweis vum Client refuséiert, an en externen Authentifizéierungsservice, deen de Kont refuséiert.

Jiddwereen erstellt eng aner Logzeil op enger anerer Maschinn, an jiddwereen huet eng aner Léisung. E Refus vum Serverzertifikat op der Clientsäit ass en Trauens- oder Nummproblem um Client; e Refus vum Clientzertifikat op der Gatewaysäit ass en Trauensproblem um Gateway; en EAP-Feeler ass en Kont- oder Backendproblem. D’Meldung, déi Dir gesitt, ass meeschtens d’Zesummefaassung vum Client vun engem dovun, dofir ass de Gateway-Log grad esou wichteg wéi dee vum Client.

Kontroll 2: wéi eng Identitéit kontrolléiert gouf

E Client kann d’Serverzertifikat oder seng erwaart Identitéit refuséieren, ier iergendeen Notzerdaten ugebuede gëtt, an eng funktionéierend Serveradress ersetzt dës Kontroll net. Den Identifiant, deen de Client erwaart, muss deem entspriechen, wat de Gateway presentéiert, wat eng Konfiguratiounstatsaach ass an net eng Netzwierktatsaach.

A strongSwan-Begrëffer ass dat rightid um Client an d’Identitéit vum Gateway selwer op der anerer Säit, an eng Onstëmmegkeet schléit fehl, ier iwwerhaapt iwwer EAP geschwat gëtt.

De Gateway kann separat d’Clientzertifikat, säi Schlüsselbeweis oder seng Kontauthentifizéierung refuséieren, an déi dräi sinn net austauschbar. D’Passwuert vun engem Notzer zrécksetzen erneiert keen Apparatzertifikat, an en Apparatzertifikat nei installéieren hëlleft net géint eng falsch Serveridentitéit. Bei Zertifikatsfeeler kontrolléiert fir d’éischt d’Auer, duerno d’Trauenskette, duerno den erwaarten Identifiant; e Client, deem seng Auer e puer Minutten danieft ass, fält duerch eng Validitéitskontroll, déi wéi en Trauensfeeler ausgesäit. swanctl --list-certs op béiden Enner weist, wat all Säit tatsächlech huet.

Kontroll 3: wann EAP am Spill ass

De Client an de Server mussen sech op eng ënnerstëtzte Method eeneg ginn, an de Backend muss d’Identitéit akzeptéieren, déi geliwwert gëtt.

En Notzernumm brauch vläicht en Domaine-Suffix oder e bestëmmte Kontformat, deen d’Deployment verlaangt, an d’Format ass dokumentéiert an net ze roden. D’dokumentéiert Felder vum Bedreiwer ubidden ass méi séier wéi Varianten ze probéieren, an et vermeit en zweet Problem: widderholl Versich kënnen eng Kontsperr ausléisen, déi duerno déi ursprénglech Phas hannert engem neie Feeler verstoppt. Wann d’Method EAP-MSCHAPv2 géint en Verzeechnes ass, kann de Feeler zum Verzeechnes gehéieren an net zur VPN.

Test net Identitéitsproblemer, andeems Dir Identitéitskontrollen ausschalt. Dat mécht aus engem diagnostizéierbare Feeler en net diagnostizéierbaren an hannerléisst d’Verbindung méi schwaach wéi virdrun.

Kontroll 4: wat no engem erfollegräiche Login geschitt

Wann IKE_AUTH fäerdeg ass, entscheet d’CHILD_SA-Verhandlung, wéi eng Trafikselektoren installéiert ginn, an do kann eng Verbindung geléngt an trotzdeem näischt duerchloossen.

En neie funktionéierende Login deckt dacks e Selektor- oder Routeproblem op, dat virdru hannert dem Authentifizéierungsfeeler verstoppt war. Wann den Tunnel eropkënnt an eng Applikatioun nach ëmmer net un hire Bestëmmungsuert kënnt, kuckt op déi verhandelt Selektoren an d’Routen an net erëm op d’Identitéit. D’Identitéitsastellungen zu deem Zäitpunkt z’änneren zielt op déi falsch Phas an zerbriecht meeschtens en funktionéierende Login. Bestätegt mat swanctl --list-sas, wat d’Kanner an hir Selektoren getrennt vum IKE SA weist.

Kontroll 5: wat een dem Support gëtt

Eng gesäubert Chronologie an de geneeë Refus si méi wäert wéi en kompletten Diagnoseexport, an den Export kann privat Schlësselen oder Umeldungsinformatiounen enthalen, déi Dir net deele sollt.

Notéiert d’Zäit mat der Zäitzon, d’Versioune vum Client a Gateway, d’Method, den ugebuedenen Identitéitsstring an net d’Passwuert, an déi genee Phas, déi en refuséiert huet. D’strongSwan IKEv2-Konfiguratiounsdokumentatioun beschreift d’Identitéits- an EAP-Astellungen, déi dës Resultater entscheeden, an et ass d’Referenz, déi een liese sollt, ier een e Feld ännert. Ännert duerno eng eenzeg Saach a testt eng nei Verbindung nei, well eng gecachte Sessioun Iech vun der aler Konfiguratioun erzielt.