L2TP/IPsec PSK е одбиен: прво дијалогот, потоа датотеките

Ја вметнувате претходно споделената шифра од пораката на администраторот во дијалогот на NetworkManager, штиклирате полето за да се прикаже и таа се совпаѓа знак по знак. Сепак врската завршува со грешка при автентикација пред тунелот да се подигне. Кога го видов тоа прв пат, претпоставив дека шифрата е погрешна; не беше. Уште две работи одредуваат што демонот навистина чита: тајната датотека што приклучокот ја пишува за таа врска и дали вредноста поминала низ дијалогот непроменета.

Патеката подолу ја следи шифрата од полето до датотеката и токму тој редослед ви кажува каде е изгубена. Правете го тоа на машината што не успева, а не на таа што работи, бидејќи разликата меѓу двете машини обично е распоредот на датотеките, а не шифрата.

Почнете од дијалогот, но не верувајте му на полето

Отворете го јазичето IPsec на врската и препишете ја шифрата наместо да ја вметнете. Шифра копирана од порака во разговор, PDF или менаџер за лозинки може да пристигне со прелом на ред на крајот што полето не го прикажува, а видливите знаци сѐ уште изгледаат точни.

Кликнете на контролата за прикажување на лозинката и погледнете го крајот на низата, не средината. Ако курсорот остави празен ред под текстот, избришете го и препишете го последниот знак. Тоа едно поправање решава изненадувачки дел од ваквите извештаи и чини помалку од читање на кој било дневник.

Ако шифрата доаѓа од систем за билети што ги прекршува долгите редови, побарајте ја преку канал што не ги прекршува. Споредете ги должините со администраторот наместо да гледате две низи една до друга; изгубен знак на точката на прекршување е невидлив во пропорционален фонт.

Следете ја шифрата внатре во /etc/ipsec.d

Приклучокот никогаш не му ја предава PSK на демонот на IPsec како аргумент на командната линија. Наместо тоа ја чува вредноста во тајна датотека и уредува демонот да ја вклучи таа датотека, додавајќи include ред во /etc/ipsec.secrets ако го нема. Она што дијалогот го држи е влез за генерираната датотека, а не вредноста што се користи.

Наведете што постои пред да промените нешто:

ipsec --version
sudo ls -l /etc/ipsec.d/*.secrets /etc/ipsec.d/ipsec.nm-l2tp.secrets 2>/dev/null
sudo grep -n "include" /etc/ipsec.secrets

Поновите изданија на приклучокот пишуваа по една датотека за секоја врска, наречена по UUID на врската, на пример /etc/ipsec.d/nm-l2tp-ipsec-<uuid>.secrets. Бришењето профил во аплетот не ја брише таа датотека сигурно. Ако стара датотека од претходен сервер сѐ уште е на дискот и сѐ уште е вклучена, демонот може да избере тајна што припаѓа на профил што повеќе не го користите, и врската не успева иако видливото поле е точно.

Разберете што направи промената во 1.2.12 со надградбите

Верзијата 1.2.12 на приклучокот ги замени тајните датотеки по врска со една заедничка датотека, /etc/ipsec.d/ipsec.nm-l2tp.secrets. Надградбата не ги чисти постарите датотеки по UUID, а постоечкиот ред include /etc/ipsec.d/*.secrets сѐ уште ги вклучува. Верзијата 1.2.16 го промени ракувањето со основните предлози, не распоредот на тајните.

Таа историја објаснува зошто две машини со навидум истиот профил се однесуваат различно. Шифрата е идентична; множеството датотеки што демонот ги вклучува не е. Кога отстранувате сираче датотека, преместете ја настрана наместо да ја избришете, потврдете ја врската и потоа избришете ја кога работната состојба е запишана. Преименувањето ја задржува старата вредност вратлива ако се покаже дека дефектот е на друго место.

Одвојте ги знаците што форматот за складирање не може да ги содржи

Документацијата на strongSwan за низата на заедничка тајна наведува дека вредноста не може да содржи прелом на ред или знак за двоен наводник. Шифра вметната од документ може да носи кој било од нив без никаква визуелна разлика во нормален дијалог.

Од 1.2.12 зачуваната вредност не е обичен текст. Приклучокот ја кодира PSK во base64 пред да стигне до датотеката, а белешките за изданието го наведуваат тоа кодирање како причина зошто двојниот наводник сега е прифатлив во шифра. Затоа наводникот внесен во полето е претставлив; истото не важи за секој контролен знак.

Должината е друго ограничување. Нема универзален минимум кај софтверот за L2TP/IPsec: некои клиенти прифаќаат шифри пократки од дваесет знаци, а некои порти наметнуваат минимум. Ако кратка шифра биде одбиена, правилото им припаѓа на политиката на серверот или на валидацијата на тој клиент, и покачувањето на нешто локално нема да го промени тоа.

Прочитајте кој слој за автентикација не успеа

Прво извршете ipsec --version, бидејќи strongSwan и Libreswan користат различни имиња на датотеки и синтакса, а советот за едниот може да му наштети на другиот. Потоа прочитајте ја фазата на неуспехот од пораката на клиентот или од дневникот на демонот: поплаката за претходно споделената шифра е различен настан од одбиено корисничко име и лозинка.

PSK ги автентицира краевите на тунелот. Корисничкото име и лозинката го автентицираат лицето внатре во L2TP, а PPP се занимава со нив откако IPsec асоцијацијата ќе се подигне. Точна PSK со погрешна сметка сепак не успева, а менувањето на сметката нема да поправи шифра што демонот никогаш не ја прочитал точно.

Кога го затворате билетот, запишете ги сите четири: верзијата на приклучокот, тајната датотека што се користи, дали шифрата е препишана или вметната и слојот наведен во грешката. Тогаш секој што подоцна ќе ја повтори оваа патека може веднаш да премине на разликата меѓу машината што работи и онаа што не успева.