Viena kļūda, trīs noslēpumi: kuri VPN pieteikšanās dati neizdevās?
Klients rāda vienu kļūdu katram posmam. Pirms atiestatīt paroli, kuru neviens nav pārbaudījis, izlasiet asociāciju, lietotāja apmaiņu un metodi.
«Autentifikācija neizdevās» var norādīt uz servera sertifikātu, mašīnas iepriekš koplietotu atslēgu vai lietotāja paroli. Uz kuru no tiem, tas atkarīgs no protokola, jo katrs protokols definē citu noslēpumu kopumu. Atiestatiet nepareizo, un kļūda paliek nemainīga. Izeja ir vispirms noskaidrot, cik daudz pierādījumu protokols prasa, un tikai tad kaut ko labot.
Divi pierādījumi pretējos virzienos
Tunelim jāatbild, vai tas sasniedza pareizo vārteju, un atsevišķi, kas ir lietotājs. Vārtejas pierādījums ir mašīnas līmenī: servera sertifikāts, iepriekš koplietota atslēga vai statiska publiskā atslēga. Lietotāja pierādījums ir personas līmenī: parole, tokens, klienta sertifikāts vai nekas. Tie ir pretēji uzticēšanās virzieni, un tie patērē atšķirīgu materiālu.
IKEv2 veic vārtejas pierādījumu IKE_AUTH iekšienē un, kad tiek izmantots EAP, pēc tam veic lietotāja pierādījumu atsevišķā apmaiņā. IKEv2 specifikācija tos tur kā atsevišķas sadaļas, kas ir spēcīgs mājiens, kur meklēt, kad viena ziņa aptver abas kārtas.
Lasiet posmu, nevis ziņu
Klients rāda vienu kļūdas virkni neatkarīgi no tā, kurš posms neizdevās, tāpēc pati virkne gandrīz nesniedz informāciju. Informāciju sniedz stāvoklis, ko varat pārbaudīt katrā posmā: vai pastāv asociācija, vai ir sākusies lietotāja apmaiņa un vai klients piedāvāja metodi, kuru vārteja gribēja. Tabula kārto posmus tieši tā, nevis pēc protokola nosaukuma.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Tikai otrā rinda attiecas uz pieteikšanās datiem, ko lietotājs var ierakstīt no jauna. Pārējās trīs ir konfigurācijas fakti, un tieši šī neatbilstība ir iemesls, kāpēc tik daudz šādu ziņojumu beidzas ar paroles atiestatīšanu, kas neko nemaina. Pirms aiztikt jebkuru lauku, izlasiet rindu, kas atbilst jūsu pierādījumam.
Protokols ar diviem noslēpumiem atklāj savas kārtis
L2TP virs IPsec padara skaitu redzamu, jo abas pārbaudes notiek dažādos procesos. IPsec slānim vispirms jāpaceļas ar iepriekš koplietotu atslēgu vai sertifikātu, un tikai pēc tam PPP tajā mēģina lietotāja pieteikšanos.
Kad mašīnas noslēpums ir nepareizs, asociācija neveidojas un lietotāja dati netiek nekad mēģināti. Kad mašīnas noslēpums ir pareizs un lietotāja noslēpums nepareizs, asociācija pastāv, un PPP noraida pieteikšanos pēc tam, kad tunelis jau ir pacelts. Abi ekrānā dod vienu un to pašu ziņu no diviem dažādiem notikumiem.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerTukšs asociāciju saraksts uzreiz izslēdz lietotāja slāni, tāpēc pārbaudiet to pirms paroles. Izveidota asociācija ar atkārtotām PPP kļūmēm norāda pretējā virzienā, uz lietotāja slāni vai uz autentifikācijas protokolu tajā. Neviens no šiem secinājumiem nav pieejams no klienta kļūdas teksta.
No kā patiesībā atkarīga pieteikšanās tikai ar paroli
Piekļuve tikai ar paroli ir ierasta L2TP, PPTP, SSTP un IKEv2 ar EAP. WireGuard vispār nav šādas iespējas, jo tā partneri ir atslēgas, nevis lietotāji. OpenVPN gadījumā atbilde nāk no servera prasības pēc klienta sertifikāta: vārteja, kas pieprasa gan sertifikātu, gan paroli, turpinās noraidīt klientu tikai ar paroli, lai ko arī ievadītu laukā.
Kura sastāvdaļa jums nepieciešama, izriet no tās pašas atbildes. Pieteikšanās ar paroli IKEv2 ietvaros prasa klientu, kas runā EAP, savukārt pieteikšanās ar sertifikātu prasa klienta privāto atslēgu un servera ķēdi. Ja instalēsiet nepareizo, kļūme lasīsies kā pieteikšanās datu kļūda, lai gan trūkst pati autentifikācijas metode.
Nomainiet vienu lietu, tad pārbaudiet vēlreiz
Vispirms noskaidrojiet trīs faktus: kurš protokols darbojas, cik noslēpumu tas definē un kuri no tiem pieder mašīnai, nevis lietotājam. Mašīnas cieš neveiksmi pirmajā posmā, bet cilvēki otrajā, un šo divu sajaukšana ir visa šī problēma.
Pēc tam nomainiet tieši vienu lietu un pārbaudiet vēlreiz no tā paša klienta. Šī disciplīna pārvērš mulsinošu kļūmi labojumā, ko varat aprakstīt nākamajam cilvēkam, un tas ir noderīgāk nekā strādājošs savienojums, kuru neviens nespēj izskaidrot.