IKEv2 mainai pavyksta, o tada autentifikavimas nepavyksta: kur ieškoti

Klientas, gaunantis IKEv2 atsakymą, įrodė, kad šliuzas pasiekiamas, kad abi pusės gali derėtis dėl pasiūlymo ir kad pradiniai raktų mainai baigti. Tačiau jis neįrodė, kad kas nors autentifikuotas. Kiti mainai perduoda tapatybes, sertifikatus arba EAP, ir čia ryšys paprastai sustoja. Perskaityti, kuri iš šių patikrų nepavyko, yra visa diagnozė, o vien klaidos pranešimas tai retai pasako.

Patikra 1: skaitykite etapą, o ne pranešimą

Atmetimas gali kilti iš trijų vietų: klientas atmeta serverio tapatybę, šliuzas atmeta kliento įrodymą, o išorinė autentifikavimo tarnyba atmeta paskyrą.

Kiekvienas sukuria skirtingą žurnalo eilutę skirtingoje mašinoje, ir kiekvienas turi skirtingą sprendimą. Serverio sertifikato atmetimas kliento pusėje yra pasitikėjimo arba vardinimo problema kliente; kliento sertifikato atmetimas šliuzo pusėje yra pasitikėjimo problema šliuze; EAP gedimas yra paskyros arba vidinės sistemos problema. Matomas pranešimas paprastai yra kliento vieno iš jų santrauka, todėl šliuzo žurnalas yra toks pat svarbus kaip kliento.

Patikra 2: kuri tapatybė buvo tikrinama

Klientas gali atmesti serverio sertifikatą arba laukiamą tapatybę dar prieš pateikiant bet kokius naudotojo kredencialus, ir veikiantis serverio adresas nepakeičia šios patikros. Kliento laukiamas identifikatorius turi atitikti tai, ką pateikia šliuzas, o tai konfigūracijos, o ne tinklo faktas.

strongSwan terminais tai yra rightid kliente ir paties šliuzo tapatybė kitoje pusėje, o neatitikimas nepavyksta dar neaptarus EAP.

Šliuzas atskirai gali atmesti kliento sertifikatą, jo rakto įrodymą arba paskyros autentifikavimą, ir šie trys nėra keičiami. Naudotojo slaptažodžio atstatymas neatnaujina įrenginio sertifikato, o įrenginio sertifikato perdiegimas neištaiso neteisingos serverio tapatybės. Sertifikatų gedimų atveju pirmiausia patikrinkite laikrodį, paskui pasitikėjimo grandinę, galiausiai laukiamą identifikatorių; klientas, kurio laikrodis kelias minutes nesutampa, nepraeina galiojimo patikros, kuri atrodo kaip pasitikėjimo gedimas. swanctl --list-certs abiejuose galuose parodo, ką kiekviena pusė iš tikrųjų turi.

Patikra 3: jei dalyvauja EAP

Klientas ir serveris turi susitarti dėl palaikomo metodo, o vidinė sistema turi priimti pateiktą tapatybę.

Naudotojo vardui gali reikėti domeno priesagos arba konkretaus paskyros formato, kurio reikalauja diegimas, ir formatas yra dokumentuotas, o ne spėjamas. Pateikti operatoriaus dokumentuotus laukus greičiau nei bandyti variantus, ir tai išvengia antros problemos: pakartotiniai bandymai gali sukelti paskyros užraktą, kuris paskui paslepia pradinį etapą už naujo gedimo. Jei metodas yra EAP-MSCHAPv2 prieš katalogą, gedimas gali priklausyti katalogui, o ne VPN.

Neišbandykite tapatybės problemų išjungdami tapatybės patikras. Tai paverčia diagnozuojamą gedimą nediagnozuojamu ir palieka ryšį silpnesnį nei anksčiau.

Patikra 4: kas nutinka po sėkmingo prisijungimo

Kai IKE_AUTH baigiasi, CHILD_SA derybos nusprendžia, kurie srauto selektoriai bus įdiegti, ir būtent čia ryšys gali pavykti ir vis tiek nieko neperduoti.

Naujai veikiantis prisijungimas dažnai atskleidžia selektoriaus arba maršruto problemą, kuri anksčiau buvo paslėpta už autentifikavimo gedimo. Jei tunelis pakyla, o programa vis tiek nepasiekia savo tikslo, žiūrėkite į suderėtus selektorius ir maršrutus, o ne vėl į tapatybę. Tapatybės nustatymų keitimas tuo metu nukreiptas į netinkamą etapą ir paprastai sugadina veikiantį prisijungimą. Patvirtinkite su swanctl --list-sas, kuris rodo vaikus ir jų selektorius atskirai nuo IKE SA.

Patikra 5: ką perduoti pagalbos tarnybai

Išvalyta laiko juosta ir tikslus atmetimas vertingesni nei visas diagnostikos eksportas, o eksporte gali būti privačių raktų arba kredencialų, kurių neturėtumėte bendrinti.

Užrašykite laiką su laiko juosta, kliento ir šliuzo versijas, metodą, pateiktą tapatybės eilutę, o ne slaptažodį, ir tikslų etapą, kuris ją atmetė. strongSwan IKEv2 konfigūracijos dokumentacija aprašo tapatybės ir EAP nustatymus, kurie lemia šiuos rezultatus, ir tai yra nuoroda, kurią reikia perskaityti prieš keičiant lauką. Tada pakeiskite vieną dalyką ir iš naujo išbandykite naują ryšį, nes podėlyje esanti sesija papasakos apie seną konfigūraciją.