Een Fehler, dräi Geheimnisser: wéi eng VPN-Umeldung ass gescheitert?
De Client weist een Fehler pro Etapp. Liest d’Assoziatioun, den Austausch vum Benotzer an d’Method, ier dir e Passwuert zrécksetzt, dat keen iwwerpréift huet.
„Authentifikatioun feelgeschlo“ kann op e Serverzertifikat, en im Viraus gedeelten Schlëssel vun der Maschinn oder e Benotzerpasswuert hiweisen. Wat gemengt ass, hängt vum Protokoll of, well all Protokoll en anere Saz vu Geheimnisser definéiert. Setzt dir dat falscht zréck, bleift de Fehler onverännert. Den Auswee ass, fir d’éischt festzestellen, wéi vill Beweiser d’Protokoll verlaangt, ier dir iergendepes ännert.
Zwee Beweiser an entgéintgesate Richtungen
En Tunnel muss äntweren, ob en de richtege Gateway erreecht huet, an separat, wien de Benotzer ass. De Gateway-Beweis ass op Maschinnen-Niveau: e Serverzertifikat, en im Viraus gedeelte Schlëssel oder en statesche ëffentleche Schlëssel. De Benotzer-Beweis ass op Persounen-Niveau: e Passwuert, en Token, e Clientzertifikat oder guer näischt. Dat sinn entgéintgesate Richtunge vum Vertrauen an si verbrauchen anert Material.
IKEv2 mécht de Gateway-Beweis bannent IKE_AUTH a léisst, wann EAP benotzt gëtt, duerno de Benotzer-Beweis an engem separaten Austausch lafen. D’IKEv2-Spezifikatioun hält déi als getrennte Sektiounen, wat en staarken Hiweis ass, wou een no kuckt, wann eng Noriicht béid Ronnen deckt.
Liest d’Etapp, net d’Noriicht
De Client weist eng eenzeg Feelermeldung, egal wéi eng Etapp gescheitert ass, dofir dréit d’Meldung selwer bal keng Informatioun. Informatioun dréit den Zoustand, deen dir op all Etapp iwwerpréiwe kënnt: ob eng Assoziatioun existéiert, ob en Austausch vum Benotzer ugefaangen huet an ob de Client d’Method ugebueden huet, déi de Gateway wollt. D’Tabell sortéiert d’Etappen esou an net nom Protokollnumm.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Nëmmen déi zweet Zeil geet ëm eng Umeldung, déi e Benotzer nach eng Kéier ka schreiwen. Déi aner dräi si Konfiguratiounsfakten, an dat Missverhältnis ass de Grond, firwat sou vill vun dëse Berichter mat engem Passwuert-Reset ophalen, deen näischt ännert. Liest d’Zeil, déi zu ärem Beweis passt, ier dir e Feld ufässt.
E Protokoll mat zwee Geheimnisser weist seng Kaarten
L2TP iwwer IPsec mécht d’Zuel sichtbar, well déi zwou Kontrollen a verschiddene Prozesser geschéien. D’IPsec-Schicht muss fir d’éischt mat engem im Viraus gedeelte Schlëssel oder engem Zertifikat eropkommen, an eréischt duerno probéiert PPP dobannen eng Benotzerumeldung.
Wann d’Maschinnengeheimnis falsch ass, entsteet keng Assoziatioun an d’Benotzerdaten ginn ni probéiert. Wann d’Maschinnengeheimnis richteg ass an d’Benotzergeheimnis falsch, existéiert d’Assoziatioun an PPP weist d’Umeldung of, nodeems den Tunnel schonn erop ass. Béid ginn déiselwecht Noriicht um Écran aus zwee verschiddenen Evenementer.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerEng eidel Assoziatiounslëscht schléisst d’Benotzerschicht direkt aus, also préift se virum Passwuert. Eng bestoend Assoziatioun mat widderhuelte PPP-Feeler weist an déi aner Richtung, op d’Benotzerschicht oder op de Protokoll vun der Authentifikatioun dobannen. Keng vun den zwou Schlussfolgerungen ass aus dem Feelertext vum Client ze kréien.
Vun wat reng Passwuert-Umeldung tatsächlech ofhängt
Zougang nëmme mat Passwuert ass fir L2TP, PPTP, SSTP an IKEv2 mat EAP üblech. WireGuard huet esou eng Optioun guer net, well seng Géigeniwwer Schlësselen an net Benotzer sinn. Bei OpenVPN kënnt d’Äntwert aus dem Server senger Clientzertifikat-Fuerderung: en Gateway, deen Zertifikat a Passwuert gläichzäiteg verlaangt, weist e Client nëmme mat Passwuert weider of, egal wat an d’Feld getippt gëtt.
Wéi eng Komponent dir braucht, follegt aus der selwechter Äntwert. Eng Passwuert-Umeldung ënner IKEv2 verlaangt e Client, deen EAP schwätzt, während eng Zertifikat-Umeldung dem Client säi private Schlëssel an dem Server seng Kette brauch. Installéiert dir dat falscht, liese sech de Feeler wéi e Feeler vun den Umeldungsdaten, obwuel d’Authentifikatiounsmethod selwer feelt.
Ännert eng Saach, dann test nach eng Kéier
Stellt als Éischt dräi Fakten fest: wéi ee Protokoll leeft, wéi vill Geheimnisser en definéiert a wéi eng dovun zu der Maschinn an net zum Benotzer gehéieren. Maschinne scheitere op der éischter Etapp a Mënschen op der zweeter, an déi zwee ze verwiessele ass dëst ganzt Problem.
Ännert dann genee eng Saach a test nach eng Kéier vum selwechte Client. Déi Disziplin mécht aus engem verwirrende Feeler eng Korrektur, déi dir der nächster Persoun ka beschreiwen, an dat ass nëtzlecher wéi eng funktionéierend Verbindung, déi keen erkläre kann.