Една грешка, три тајни: кои VPN податоци за најава не успеаја?
Клиентот прикажува една грешка за секоја фаза. Прочитајте ја асоцијацијата, размената на корисник и методот пред да ресетирате лозинка што никој не ја проверил.
„Автентикацијата не успеа“ може да укажува на серверски сертификат, претходно споделен клуч на машината или корисничка лозинка. Која од нив зависи од протоколот, бидејќи секој протокол дефинира различен сет тајни. Ресетирајте ја погрешната и грешката останува непроменета. Излезот е да утврдите колку докази бара протоколот пред да уредите нешто.
Два докази во спротивни насоки
Тунелот мора да одговори дали стигнал до правилниот портал и одделно кој е корисникот. Доказот за порталот е на ниво на машина: серверски сертификат, претходно споделен клуч или статичен јавен клуч. Доказот за корисникот е на ниво на личност: лозинка, токен, клиентски сертификат или воопшто ништо. Тоа се спротивни насоки на доверба и тие трошат различен материјал.
IKEv2 го изведува доказот за порталот во IKE_AUTH и, кога се користи EAP, потоа го изведува доказот за корисникот во одделна размена. Спецификацијата на IKEv2 ги држи како одделни секции, што е силен навестување каде да барате кога една порака ги покрива двете рунди.
Читајте ја фазата, не пораката
Клиентот прикажува една текстуална низа за грешка без оглед на тоа која фаза не успеала, па самата низа речиси не носи информација. Информација носи состојбата што можете да ја прегледате во секоја фаза: дали постои асоцијација, дали започнала размена на корисник и дали клиентот го понудил методот што го сакал порталот. Табелата ги подредува фазите на тој начин, а не по име на протокол.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Само вториот ред се однесува на податоци што корисникот може повторно да ги внесе. Останатите три се факти за конфигурацијата, и токму тоа несовпаѓање е причината толку многу вакви извештаи да завршат со ресетирање лозинка што не менува ништо. Прочитајте го редот што одговара на вашиот доказ пред да допрете поле.
Протокол со две тајни ги покажува картите
L2TP преку IPsec го прави бројот видлив, бидејќи двете проверки се случуваат во различни процеси. IPsec слојот мора прво да се крене со претходно споделен клуч или сертификат, и дури потоа PPP внатре во него се обидува да најави корисник.
Кога тајната на машината е погрешна, не се формира асоцијација и корисничките податоци никогаш не се обидуваат. Кога тајната на машината е точна, а тајната на корисникот погрешна, асоцијацијата постои и PPP ја одбива најавата откако тунелот веќе е кренат. И двете даваат иста порака на екранот од два различни настани.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerПразната листа на асоцијации веднаш го исклучува корисничкото ниво, затоа проверете ја пред лозинката. Воспоставена асоцијација со повторени неуспеси на PPP покажува во другата насока, кон корисничкото ниво или кон протоколот за автентикација внатре во него. Ниту еден од двата заклучока не е достапен од текстот на грешката на клиентот.
Од што всушност зависи најавата само со лозинка
Пристапот само со лозинка е вообичаен за L2TP, PPTP, SSTP и IKEv2 со EAP. WireGuard воопшто нема таква опција, бидејќи неговите партнери се клучеви, а не корисници. За OpenVPN одговорот доаѓа од барањето на серверот за клиентски сертификат: портал што бара и сертификат и лозинка ќе продолжи да го одбива клиентот само со лозинка, што и да се внесе во полето.
Која компонента ви треба произлегува од истиот одговор. Најавата со лозинка под IKEv2 бара клиент што зборува EAP, додека најавата со сертификат бара приватен клуч на клиентот и синџир на серверот. Инсталирајте ја погрешната и неуспехот се чита како грешка во податоците за најава, иако недостасува самиот метод за автентикација.
Сменете едно нешто, па тестирајте повторно
Прво утврдете три факти: кој протокол работи, колку тајни дефинира и кои од нив му припаѓаат на машината, а не на корисникот. Машините паѓаат во првата фаза, а луѓето во втората, и мешањето на двете е целиот овој проблем.
Потоа сменете точно едно нешто и тестирајте повторно од истиот клиент. Таа дисциплина ја претвора збунувачката грешка во поправка што можете да ја опишете на следниот човек, и тоа е покорисно од врска што работи и што никој не може да ја објасни.