Gemeinsam Geheimnis oder Benotzeranmeldung: wéi ee L2TP/IPsec-Feld ass gescheitert?
E virun-gedeelte Schlëssel beweist de Peer, während de PPP-Benotzernumm an d'Passwuert d'Persoun beweisen. De Fehlercode seet, wéi eng vun den zwou Schichte gebrach ass.
Een Büro kann dee selwechten IPsec-Geheimnis un all Laptop ginn, während all Persoun sech nach mat engem eegene Kont aloggt, an dofir kënne „de Schlëssel ass richteg” an „d'Passwuert ass richteg” alle béid wouer sinn an d'Anmeldung awer feelt. L2TP an IPsec authentifizéieren ënnerschiddlech Parteien a verschiddene Phase. De Verglach vun den zwou Schichten, an de Fehlercode, deen se trennt, schléisst déi meescht vun dësen Ticketen méi séier wéi nach eng Kéier béid Wäerter ze tauschen. D'Phase sinn net austauschbar, an d'Noriicht virun Iech seet schonn, wéi eng am Spill ass.
Zwou Schichten, zwou verschidden Identitéiten
Fir d'éischt leeft d'IPsec-Peer-Authentifizéierung. De Client an de Gateway weisen sech géigesäiteg, wien se sinn, mat engem virun-gedeelte Schlëssel oder engem Zertifikat, ier eng Tunnel-Nutzlaascht geschützt gëtt. Den PPP-Austausch an der L2TP-Sessioun kënnt duerno, an do ginn Ären Benotzernumm an d'Passwuert géint de Kontespeicher vum Server gepréift.
D'Phase sinn onofhängeg, also e gültege Benotzerkont rett keen falschen IPsec-Schlëssel, an e richtege Schlëssel rett kee ofgelafene Passwuert. Schreift déi zwou getrennt an den Ticket an d'Diagnos fält meeschtens aus der éischter Logzeil, déi eng Phase nennt.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
De gemeinsam Geheimnis beweist de Peer
E virun-gedeelte Schlëssel ass e Gruppebeweis, deen de Gateway an all Client, dee sech verbënnt, huet. Hie bestätegt, datt de Peer de Schlëssel kennt, an dervun ofleet IKE d'Schlësselen, déi d'Verbindung schützen. Näischt an deem Austausch identifizéiert de Mënsch un der Tastatur. Dat ass de ganzen Grond, firwat eng zweet Anmeldung um Benotzerniveau am selwechten Tunnel existéiert.
Deen Design huet eng praktesch Konsequenz fir de Widderruff. Een Laptop ze verléieren heescht, de Geheimnis fir all Apparat ze rotéieren, deen en benotzt, ausser d'Asetzung geet op Zertifikater, wou een eenzelen Apparat ka geholl ginn, ouni de Rescht unzefassen. Den Tausch ass administrativen Opwand géint de Schuedensradius.
E Schlëssel, deen an e Profil getippt gëtt, ass och dee liichtsten ze leckenden Noweis iwwer Screenshots a Chat. Behandelt en als gemeinsam Infrastrukturmaterial an net als perséinlecht Passwuert, well dat ass genau wat en ass.
D'Anmeldung gehéiert zu PPP
An der L2TP-Sessioun verhandelt PPP d'Authentifizéierung a freet de Server, d'Wäerterpaar ze iwwerpréifen, dat Dir getippt hutt. Op Windows sinn dat dee selwechte Benotzernumm an d'selwecht Passwuert, déi de Profil freet, an op engem Router dat, op wat de PPP-Profil verweist. Et gëtt géint de Kontespeicher gepréift, net géint de Schlëssel. Zwou Persounen kënnen e Laptop an e Schlëssel deelen an nach ëmmer an dëser Phase ënnerscheet ginn.
Well et Benotzerauthentifizéierung ass, gëllen all üblech Kontpolitiken: ofgelafent Passwuert, gespaarte Kont, Dial-in-Erlaabnis oder en Numm, deen eng Domain muss droen. De Fehler 691 mellt déi Kombinatioun als ofgeleent, also liest de Rechenschaftsrecord vum Server, ier Dir eppes nei tippt.
Loosst de Fehler d'Feld wielen
De Fehler 789 nennt d'Sécherheetsschicht a weist op d'IPsec-Phase. Bestätegt, datt de virun-gedeelte Schlëssel op béiden Säiten exakt iwwereneen ass, datt d'Peer-Identitéit, déi de Gateway erwaart, mat deem iwwereneen ass, wat de Client schéckt, an datt de Client fir L2TP/IPsec an net fir en aneren Typ konfiguréiert ass.
De Fehler 691 nennt Noweiser a weist op PPP. Préift de Kontstatus an de genauen Nummformat, ier Dir de Geheimnis ännert, well béides gläichzäiteg z'änneren de Beweis zerstéiert, deen Dir gelies hutt.
Wann den Tunnel eropkënnt an den Trafik nach ëmmer stoe bleift, stoppt komplett d'Authentifizéierungsfelder ze änneren. Kuckt de Adresspool, d'Route zréck an de Client-Subnet an d'MTU: de Verglach vun den zwou Schichte hëlleft nëmme soulaang, wéi de Fehler nach dobannen ass.