Koplietotais noslēpums vai lietotāja pieteikšanās: kurš L2TP/IPsec lauks neizdevās?
Iepriekš koplietotā atslēga pierāda partneri, bet PPP lietotājvārds un parole — cilvēku. Kļūdas kods pasaka, kura no divām kārtām salūza.
Viens birojs var izsniegt vienu un to pašu IPsec noslēpumu katram klēpjdatoram, kamēr katra persona tomēr pieteicas ar savu kontu, un tieši tāpēc „atslēga ir pareiza” un „parole ir pareiza” var būt patiesi abi, bet pieteikšanās tomēr neizdodas. L2TP un IPsec autentificē dažādas puses dažādos posmos. Abu kārtu salīdzinājums un tās šķirošais kļūdas kods aizver lielāko daļu šo biļešu ātrāk nekā vēl viena abu vērtību nomaiņa. Posmi nav savstarpēji aizstājami, un ziņa jūsu priekšā jau saka, kurš darbojas.
Divas kārtas, divas dažādas identitātes
Vispirms darbojas IPsec partnera autentifikācija. Klients un vārteja pierāda viens otram, kas viņi ir, ar iepriekš koplietotu atslēgu vai sertifikātu, pirms tiek aizsargāta jebkura tuneļa kravnesība. PPP apmaiņa L2TP sesijas ietvaros notiek pēc tam, un tieši tur jūsu lietotājvārds un parole tiek pārbaudīti pret servera kontu krātuvi.
Posmi ir neatkarīgi, tāpēc derīgs lietotāja konts nevar izglābt nepareizu IPsec atslēgu, un pareiza atslēga nevar izglābt termiņu beigušos paroli. Pierakstiet abus atsevišķi biļetē, un diagnoze parasti izkrīt no pirmās žurnāla rindas, kurā nosaukts posms.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Koplietotais noslēpums pierāda partneri
Iepriekš koplietota atslēga ir grupas akreditācijas dati, kas ir vārtejai un katram klientam, kurš tai pieslēdzas. Tā nosaka, ka partneris zina atslēgu, un no tās IKE atvasina savienojumu aizsargājošās atslēgas. Nekas šajā apmaiņā neidentificē cilvēku pie tastatūras. Tieši tāpēc tajā pašā tunelī pastāv otra, lietotāja līmeņa pieteikšanās.
Šim dizainam ir praktiskas sekas atsaukšanai. Viena klēpjdatora zaudēšana nozīmē noslēpuma maiņu katram to lietojošajam ierīcei, ja vien ieviešana nepāriet uz sertifikātiem, kur vienu ierīci var izņemt, neaiztiekot pārējās. Darījums ir administratīvas pūles pret bojājuma apjomu.
Profīlā ierakstīta atslēga ir arī visvieglāk noplūstošie akreditācijas dati ekrānuzņēmumu un tērzēšanas dēļ. Uztveriet to kā koplietotu infrastruktūras materiālu, nevis personisku paroli, jo tieši tas tas ir.
Pieteikšanās pieder PPP
L2TP sesijas ietvaros PPP vienojas par autentifikāciju un lūdz serveri pārbaudīt ievadīto vērtību pāri. Operētājsistēmā Windows tie ir tie paši lietotājvārds un parole, ko pieprasa profils, bet maršrutētājā — tas, uz ko atsaucas PPP profils. To pārbauda pret kontu krātuvi, nevis pret atslēgu. Divi cilvēki var dalīties ar klēpjdatoru un atslēgu un tomēr šajā posmā tikt atšķirti.
Tā kā tā ir lietotāja autentifikācija, darbojas visi parastie konta noteikumi: beigusies parole, bloķēts konts, zvanīšanas atļauja vai vārds, kuram jābūt ar domēnu. Kļūda 691 ziņo šo kombināciju kā noraidītu, tāpēc izlasiet servera uzskaites ierakstu pirms kaut ko atkārtoti ievadāt.
Ļaujiet kļūdai izvēlēties lauku
Kļūda 789 nosauc drošības kārtu un norāda uz IPsec posmu. Pārliecinieties, ka iepriekš koplietotā atslēga abās pusēs precīzi sakrīt, ka vārtejas gaidītā partnera identitāte atbilst tam, ko sūta klients, un ka klients ir konfigurēts L2TP/IPsec, nevis citam tipam.
Kļūda 691 nosauc akreditācijas datus un norāda uz PPP. Pārbaudiet konta stāvokli un precīzo vārda formātu pirms noslēpuma maiņas, jo abu maiņa uzreiz iznīcina pierādījumus, ko lasījāt.
Kad tunelis paceļas un datplūsma tomēr apstājas, pilnībā pārtrauciet autentifikācijas lauku rediģēšanu. Paskatieties uz adrešu baseinu, atpakaļceļu uz klienta apakštīklu un MTU: abu kārtu salīdzinājums palīdz tikai tik ilgi, kamēr kļūme vēl ir to iekšienē.