L2TP/IPsec-PSK verworf: éischt den Dialog, dann d'Dateien

Dir setzt de virgedeelte Schlëssel aus der Noriicht vum Administrateur an den NetworkManager-Dialog, setzt de Käschten zum Weisen, an hie passt Zeechen fir Zeechen. D'Verbindung endet awer ëmmer nach an engem Authentifikatiounsfehler, ier den Tunnel steet. Wéi ech dat fir d'éischt gesinn hunn, hunn ech ugeholl, de Schlëssel wier falsch; hie war et net. Zwee aner Saachen entscheeden, wat den Daemon tatsächlech liest: d'Geheimnisdatei, déi de Plugin fir déi Verbindung schreift, an ob de Wäert onverännert duerch den Dialog gaangen ass.

Den Ëmlaf hei drënner follegt dem Schlëssel vum Feld bis an d'Datei, an dat ass d'Reiefolleg, déi Iech seet, wou en verluer gaangen ass. Maacht en op der Maschinn, déi feelt, net op där, déi funktionéiert, well den Ënnerscheed tëscht deenen zwou Maschinnen ass meeschtens d'Dateienusuerdnung an net de Schlëssel.

Fänkt um Dialog un, awer vertraut dem Feld net

Maacht den IPsec-Tab vun der Verbindung op a tippt de Schlëssel nei an, amplaz en anzesetzen. E Schlëssel, deen aus enger Chatnoriicht, engem PDF oder engem Passwuertmanager kopéiert gouf, kann mat engem Zeilenëmbruch um Enn kommen, deen d'Feld net weist, an déi siichtbar Zeechen aus nach richteg aus.

Klickt op d'Kontroll fir d'Passwuert ze weisen a kuckt op d'Enn vum String, net an d'Mëtt. Wann de Cursor eng eidel Zeil ënner dem Text léisst, läscht se a tippt dat lescht Zeechen nei. Dee eenzege Korrektur léist en erstaunlechen Deel vun dëse Berichter, an et kascht manner wéi all Log ze liesen.

Wann de Schlëssel aus engem Ticketsystem kënnt, deen laang Zeilen ëmbrécht, frot en iwwer e Kanal un, deen net ëmbrécht. Vergläicht d'Längte mam Administrateur, amplaz zwee Strings niewenteneen ze kucken; en Zeechen, dat op enger Ëmbrochplaz verluer geet, ass an enger proporzionaler Schrëft onsichtbar.

Follegt de Schlëssel an /etc/ipsec.d

De Plugin gëtt de PSK ni als Argument op enger Kommandozeil un den IPsec-Daemon weider. Amplaz späichert en de Wäert an enger Geheimnisdatei a suergt dofir, datt den Daemon déi Datei anhëlt, andeems en eng include-Zeil an /etc/ipsec.secrets derbäisetze wann eng feelt. Wat den Dialog hält, ass en Input fir déi generéiert Datei, net de Wäert, dee benotzt gëtt.

Lëscht op, wat et gëtt, ier Dir eppes ännert:

ipsec --version
sudo ls -l /etc/ipsec.d/*.secrets /etc/ipsec.d/ipsec.nm-l2tp.secrets 2>/dev/null
sudo grep -n "include" /etc/ipsec.secrets

Méi al Verëffentlechunge vum Plugin hunn eng Datei pro Verbindung geschriwwen, no der UUID vun der Verbindung benannt, zum Beispill /etc/ipsec.d/nm-l2tp-ipsec-<uuid>.secrets. D'Läschen vun engem Profil an der Applet läscht déi Datei net zuverléisseg. Wann eng al Datei vun engem fréiere Server nach op der Plack ass an nach agebonnen gëtt, kann den Daemon e Geheimnis wielen, dat zu engem Profil gehéiert, deen Dir net méi benotzt, an d'Verbindung feelt, obwuel d'siichtbart Feld richteg ass.

Verstitt, wat d'Ännerung an 1.2.12 bei den Upgrades gemaach huet

Plugin-Versioun 1.2.12 huet d'Geheimnisdateie pro Verbindung duerch eng eenzeg gedeelte Datei ersat, /etc/ipsec.d/ipsec.nm-l2tp.secrets. En Upgrade raumt déi méi al Dateien no UUID net op, an eng bestoend Zeil include /etc/ipsec.d/*.secrets hält se nach ëmmer an. Versioun 1.2.16 huet d'Behandlung vun den Standardvirschléi geännert, net d'Usuerdnung vun de Geheimnisser.

Dës Geschicht erkläert, firwat zwou Maschinne mat deem, wat wéi dee selwechte Profil ausgesäit, sech ënnerschiddlech behuelen. De Schlëssel ass identesch; de Set vun Dateien, déi den Daemon anhëlt, ass et net. Wann Dir eng verwuert Datei ewechhëlt, réckelt se op d'Säit amplaz se ze läschen, bestätegt d'Verbindung, an läscht se dann, wann den funktionéierende Zoustand festgehalen ass. D'Ëmbenennen hält den ale Wäert erëmkillbar, wann sech erausstellt, datt de Fehler soss anzwousch läit.

Trennt d'Zeechen, déi d'Späicherformat net halen kann

D'strongSwan-Dokumentatioun zum gedeelte Geheimnis-String seet, datt de Wäert weder en Zeilenëmbruch nach en Duebel-Zitatzeechen enthalen däerf. En Schlëssel, deen aus engem Dokument agesat gouf, kann ee vun deenen zwee droen, ouni datt een an engem normale Dialog eppes gesäit.

Zënter 1.2.12 ass de gespäicherte Wäert keen einfachen Text. De Plugin kodéiert de PSK a base64, ier en d'Datei erreecht, an d'Versiounsnotizen nennen déi Kodéierung als Grond, firwat en Duebel-Zitatzeechen elo an engem Schlëssel akzeptabel ass. En Zitatzeechen, dat am Feld getippt gëtt, ass also duerstellbar; datselwecht gëllt net fir all Kontrollzeechen.

D'Längt ass eng aner Aschränkung. Et gëllt kee universelle Minimum iwwer L2TP/IPsec-Software: verschidde Cliente akzeptéieren Schlësselen, déi méi kuerz wéi zwanzeg Zeechen sinn, a verschidde Gatewayen erzwiängen e Minimum. Wann e kuerze Schlëssel verworf gëtt, gehéiert d'Regel zu der Serverpolitik oder zu der Validéierung vun deem Client, an eppes lokal ze hiewen ännert dat net.

Liest, wéi eng Authentifikatiounsschicht gefeelt huet

Fëllt als Éischt ipsec --version aus, well strongSwan a Libreswan ënnerschiddlech Dateinimm a Syntax benotzen, an e Rot fir deen een kann deen aneren beschiedegen. Duerno liest d'Failschicht aus der Noriicht vum Client oder aus dem Log vum Daemon: eng Plainte iwwer de virgedeelte Schlëssel ass en aneren Evenement wéi en ofgeleenten Benotzernumm a Passwuert.

De PSK authentifizéiert d'Endpunkte vum Tunnel. De Benotzernumm an d'Passwuert authentifizéieren d'Persoun bannent L2TP, an de PPP këmmert sech drëm, nodeems d'IPsec-Assoziatioun steet. E korrekte PSK mat engem falsche Kont feelt nach ëmmer, an de Kont ze wiesselen reparéiert kee Schlëssel, deen den Daemon ni richteg gelies huet.

Wann Dir den Ticket zoumaacht, schreift all véier op: Plugin-Versioun, déi benotzt Geheimnisdatei, ob de Schlëssel nei getippt oder agesat gouf, an d'Schicht, déi am Fehler genannt gëtt. Dann kann jiddereen, deen dësen Ëmlaf méi spéit widderhëlt, direkt op den Ënnerscheed tëscht der funktionéierender an der feelender Maschinn sprangen.