IKEv2 apmaiņa darbojas, bet pēc tam autentifikācija neizdodas: kur meklēt

Klients, kas saņem IKEv2 atbildi, ir pierādījis, ka vārteja ir sasniedzama, ka abas puses var vienoties par priekšlikumu un ka sākotnējā atslēgu apmaiņa ir pabeigta. Taču tas nav pierādījis, ka kāds ir autentificēts. Nākamā apmaiņa pārnēsā identitātes, sertifikātus vai EAP, un tur savienojums parasti apstājas. Izlasīt, kura no šīm pārbaudēm neizdevās, ir visa diagnoze, un tikai kļūdas ziņojums to reti pasaka.

Pārbaude 1: lasiet posmu, nevis ziņojumu

Noraidījums var nākt no trim vietām: klients noraida servera identitāti, vārteja noraida klienta pierādījumu, un ārējs autentifikācijas pakalpojums noraida kontu.

Katrs rada citu žurnāla rindu citā mašīnā, un katram ir cits risinājums. Servera sertifikāta noraidījums klienta pusē ir uzticēšanās vai nosaukuma problēma klientā; klienta sertifikāta noraidījums vārtejas pusē ir uzticēšanās problēma vārtējā; EAP kļūme ir konta vai aizmugures problēma. Redzamais ziņojums parasti ir klienta kopsavilkums par vienu no tiem, tāpēc vārtejas žurnāls ir tikpat svarīgs kā klienta žurnāls.

Pārbaude 2: kura identitāte tika pārbaudīta

Klients var noraidīt servera sertifikātu vai gaidīto identitāti pirms jebkādu lietotāja akreditācijas datu piedāvāšanas, un strādājoša servera adrese neaizstāj šo pārbaudi. Identifikatoram, ko klients gaida, jāatbilst tam, ko uzrāda vārteja, un tas ir konfigurācijas, nevis tīkla fakts.

strongSwan izteiksmē tas ir rightid klientā un pašas vārtejas identitāte otrā pusē, un neatbilstība neizdodas jau pirms EAP apspriešanas.

Vārteja atsevišķi var noraidīt klienta sertifikātu, tā atslēgas pierādījumu vai konta autentifikāciju, un šie trīs nav savstarpēji aizstājami. Lietotāja paroles atiestatīšana neatjauno ierīces sertifikātu, un ierīces sertifikāta pārinstalēšana neizlabo nepareizu servera identitāti. Sertifikātu kļūmju gadījumā vispirms pārbaudiet pulksteni, tad uzticēšanās ķēdi, tad gaidīto identifikatoru; klients, kura pulkstenis atšķiras par dažām minūtēm, neiztur derīguma pārbaudi, kas izskatās kā uzticēšanās kļūme. swanctl --list-certs abos galos parāda, kas katrai pusei patiešām ir.

Pārbaude 3: ja EAP ir iesaistīts

Klientam un serverim jāvienojas par atbalstītu metodi, un aizmugures sistēmai jāpieņem sniegtā identitāte.

Lietotājvārdam var būt nepieciešams domēna piedēklis vai konkrēts konta formāts, ko prasa izvietošana, un formāts ir dokumentēts, nevis uzminams. Operatora dokumentēto lauku sniegšana ir ātrāka nekā variantu izmēģināšana, un tā izvairās no otras problēmas: atkārtoti mēģinājumi var izraisīt konta bloķēšanu, kas pēc tam paslēpj sākotnējo posmu aiz jaunas kļūmes. Ja metode ir EAP-MSCHAPv2 pret direktoriju, kļūme var piederēt direktorijam, nevis VPN.

Neizmēģiniet identitātes problēmas, atslēdzot identitātes pārbaudes. Tas pārvērš diagnosticējamu kļūmi nediagnosticējamā un atstāj savienojumu vājāku nekā iepriekš.

Pārbaude 4: kas notiek pēc veiksmīgas pieteikšanās

Kad IKE_AUTH ir pabeigts, CHILD_SA sarunas nosaka, kuri trafika selektori tiek instalēti, un tieši tur savienojums var izdoties un tomēr neko nepalaist.

Nesen strādājoša pieteikšanās bieži atklāj selektora vai maršruta problēmu, kas iepriekš bija paslēpta aiz autentifikācijas kļūmes. Ja tunelis paceļas un lietojumprogramma joprojām neaizsniedz savu galamērķi, skatieties uz saskaņotajiem selektoriem un maršrutiem, nevis atkal uz identitāti. Identitātes iestatījumu maiņa tajā brīdī mērķē uz nepareizo posmu un parasti salauž strādājošu pieteikšanos. Apstipriniet ar swanctl --list-sas, kas rāda bērnus un to selektorus atsevišķi no IKE SA.

Pārbaude 5: ko nodot atbalsta dienestam

Attīrīta laika skala un precīzais noraidījums ir vērtīgāki par pilnu diagnostikas eksportu, un eksports var saturēt privātas atslēgas vai akreditācijas datus, ko nevajadzētu koplietot.

Pierakstiet laiku ar laika joslu, klienta un vārtejas versijas, metodi, piedāvāto identitātes virkni, nevis paroli, un precīzo posmu, kas to noraidīja. strongSwan IKEv2 konfigurācijas dokumentācija apraksta identitātes un EAP iestatījumus, kas nosaka šos rezultātus, un tas ir atsauces avots, kas jāizlasa pirms lauka maiņas. Pēc tam mainiet vienu lietu un vēlreiz pārbaudiet jaunu savienojumu, jo kešatmiņā saglabātā sesija pastāstīs par veco konfigurāciju.