Bendras slaptažodis ar naudotojo prisijungimas: kuris L2TP/IPsec laukas nepavyko?
Iš anksto bendrinamas raktas įrodo partnerį, o PPP naudotojo vardas ir slaptažodis – asmenį. Klaidos kodas pasako, kuris iš dviejų sluoksnių lūžo.
Vienas biuras gali duoti tą patį IPsec slaptažodį kiekvienam nešiojamajam, o kiekvienas žmogus vis tiek jungiasi su savo paskyra, ir būtent todėl „raktas teisingas“ ir „slaptažodis teisingas“ gali būti tiesa abu, o prisijungimas vis tiek nepavyksta. L2TP ir IPsec tikrina skirtingas šalis skirtinguose etapuose. Dviejų sluoksnių palyginimas ir juos skiriantis klaidos kodas užveria daugumą tokių užklausų greičiau nei dar vienas abiejų reikšmių keitimas. Etapai nepakeičiami, o žinutė priešais jus jau sako, kuris veikia.
Du sluoksniai, dvi skirtingos tapatybės
Pirmiausia vykdomas IPsec partnerio tikrinimas. Klientas ir šliuzas vienas kitam įrodo, kas jie yra, iš anksto bendrinamu raktu arba sertifikatu, prieš apsaugant bet kokį tunelio turinį. PPP mainai L2TP sesijos viduje vyksta po to, ir būtent ten jūsų naudotojo vardas ir slaptažodis tikrinami pagal serverio paskyrų saugyklą.
Etapai nepriklausomi, todėl galiojanti naudotojo paskyra negali išgelbėti neteisingo IPsec rakto, o teisingas raktas nepajėgus išgelbėti pasibaigusio slaptažodžio. Įrašykite abu atskirai į bilietą, ir diagnozė paprastai iškrenta iš pirmos žurnalo eilutės, kurioje įvardytas etapas.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Bendrasis slaptažodis įrodo partnerį
Iš anksto bendrinamas raktas yra grupinis prisijungimo duomuo, kurį turi šliuzas ir kiekvienas prie jo besijungiantis klientas. Jis nustato, kad partneris žino raktą, ir iš jo IKE išveda ryšį apsaugančius raktus. Niekas tame mainų procese neatpažįsta žmogaus prie klaviatūros. Būtent todėl tame pačiame tunele egzistuoja antras, naudotojo lygio prisijungimas.
Šis sprendimas turi praktinę pasekmę atšaukimui. Vieno nešiojamojo praradimas reiškia slaptažodžio keitimą kiekvienam jį naudojančiam įrenginiui, nebent diegimas pereina prie sertifikatų, kur vieną įrenginį galima pašalinti neliečiant kitų. Mainai yra administracinės pastangos prieš žalos mastą.
Į profilį įrašytas raktas taip pat yra lengviausiai nutekamas prisijungimo duomuo per ekrano kopijas ir pokalbius. Traktuokite jį kaip bendrą infrastruktūros medžiagą, o ne kaip asmeninį slaptažodį, nes būtent tai jis ir yra.
Prisijungimas priklauso PPP
L2TP sesijos viduje PPP derasi dėl autentifikavimo ir prašo serverio patikrinti jūsų įvestų reikšmių porą. Windows aplinkoje tai tie patys naudotojo vardas ir slaptažodis, kurių prašo profilis, o maršrutizatoriuje – tai, į ką nurodo PPP profilis. Tikrinama pagal paskyrų saugyklą, o ne pagal raktą. Du žmonės gali dalytis nešiojamuoju ir raktu ir vis tiek šiame etape būti atskirti.
Kadangi tai naudotojo autentifikavimas, galioja visos įprastos paskyros taisyklės: pasibaigęs slaptažodis, užrakinta paskyra, rinkimo leidimas arba vardas, kuris turi turėti domeną. Klaida 691 praneša šį derinį kaip atmestą, todėl perskaitykite serverio apskaitos įrašą prieš ką nors įvesdami iš naujo.
Leiskite klaidai pasirinkti lauką
Klaida 789 įvardija saugos sluoksnį ir nurodo IPsec etapą. Patvirtinkite, kad iš anksto bendrinamas raktas abiejose pusėse sutampa tiksliai, kad šliuzo laukiama partnerio tapatybė atitinka tai, ką siunčia klientas, ir kad klientas sukonfigūruotas L2TP/IPsec, o ne kitam tipui.
Klaida 691 įvardija prisijungimo duomenis ir nurodo PPP. Patikrinkite paskyros būseną ir tikslų vardo formatą prieš keisdami slaptažodį, nes abu iš karto pakeitus sunaikinami įrodymai, kuriuos skaitėte.
Kai tunelis pakyla, o srautas vis tiek sustoja, visiškai nustokite redaguoti autentifikavimo laukus. Pažiūrėkite į adresų baseiną, maršrutą atgal į kliento potinklį ir MTU: dviejų sluoksnių palyginimas padeda tik tol, kol gedimas dar jų viduje.