Споделена тајна или најава на корисник: кое поле на L2TP/IPsec не успеа?
Претходно споделениот клуч го докажува партнерот, а корисничкото име и лозинката на PPP го докажуваат човекот. Кодот на грешка кажува кој од двата слоја се скрши.
Една канцеларија може да го даде истиот IPsec тајнопис на секој преносен сметач, додека секој човек уште се најавува со сопствена сметка, и токму затоа „клучот е точен” и „лозинката е точна” можат да бидат вистинити истовремено, а најавата сепак да не успее. L2TP и IPsec заверуваат различни страни во различни фази. Споредбата на двата слоја, и кодот на грешка што ги дели, затвораат повеќето од овие билети побрзо отколку уште една замена на двете вредности. Фазите не се заменливи, и пораката пред вас веќе кажува која е во игра.
Два слоја, два различни идентитети
Прво се извршува заверувањето на партнерот во IPsec. Клиентот и портата си докажуваат еден на друг кои се, со претходно споделен клуч или сертификат, пред да се заштити било кој товар на тунелот. Размената на PPP внатре во сесијата L2TP доаѓа потоа, и токму таму вашето корисничко име и лозинка се проверуваат против складиштето на сметки на серверот.
Фазите се независни, затоа важечка корисничка сметка не може да спаси погрешен клуч на IPsec, а точниот клуч не може да спаси истечена лозинка. Запишете ги двете одделно во билетот и дијагнозата обично излегува од првиот ред во дневникот што именува фаза.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Споделената тајна го докажува партнерот
Претходно споделениот клуч е групно уверение што го имаат портата и секој клиент што се поврзува со неа. Тој утврдува дека партнерот го знае клучот, и од него IKE ги изведува клучевите што го штитат поврзувањето. Ништо во таа размена не го идентификува човекот пред тастатурата. Токму затоа во истиот тунел постои втора, корисничка најава.
Тој дизајн има практична последица за отповикување. Губењето на еден преносен сметач значи вртење на тајнописот за секој уред што го користи, освен ако распоредувањето не премине на сертификати, каде што еден уред може да се отстрани без да се допрат останатите. Замената е административен труд против обемот на штетата.
Клучот внесен во профил е и најлесното уверение за истекување преку слики од екранот и разговор. Третирајте го како заеднички инфраструктурен материјал, а не како лична лозинка, зашто токму тоа е.
Најавата припаѓа на PPP
Внатре во сесијата L2TP, PPP преговара за заверување и бара од серверот да ги провери двете вредности што ги внесовте. Во Windows тоа се истите корисничко име и лозинка што ги бара профилот, а на рутерот тоа е она на што упатува профилот на PPP. Се проверува против складиштето на сметки, а не против клучот. Двајца луѓе можат да делат преносен сметач и клуч и сепак да бидат разликувани во оваа фаза.
Бидејќи тоа е заверување на корисник, важат сите вообичаени правила за сметка: истечена лозинка, заклучена сметка, дозвола за бирање или име што мора да носи домен. Грешката 691 ја пријавува таа комбинација како одбиена, затоа прочитајте го сметководствениот запис на серверот пред да внесете нешто повторно.
Нека грешката го избере полето
Грешката 789 го именува безбедносниот слој и упатува на фазата IPsec. Потврдете дека претходно споделениот клуч на двете страни совпаѓа точно, дека идентитетот на партнерот што го очекува портата одговара на тоа што го праќа клиентот, и дека клиентот е конфигуриран за L2TP/IPsec, а не за друг тип.
Грешката 691 ги именува уверенијата и упатува на PPP. Проверете ја состојбата на сметката и точниот формат на името пред да го смените тајнописот, зашто менувањето на двете истовремено го уништува доказот што го читавте.
Кога тунелот ќе се подигне, а сообраќајот уште запира, целосно престанете да ги уредувате полињата за заверување. Погледнете го базенот на адреси, рутата назад кон подмрежата на клиентот и MTU: споредбата на двата слоја помага само додека дефектот е уште во нив.