Хамтарсан нууц эсвэл хэрэглэгчийн нэвтрэлт: L2TP/IPsec-ийн аль талбар бүтэлгүйтсэн бэ?
Урьдчилж хуваалцсан түлхүүр нь түншийг, харин PPP хэрэглэгчийн нэр, нууц үг нь хүнийг батална. Алдааны код нь хоёр давхаргын аль нь эвдэрснийг хэлнэ.
Нэг оффис бүх зөөврийн компьютерт ижил IPsec нууцыг өгч болох бөгөөд хүн бүр хувийн бүртгэлээрээ нэвтэрдэг, тиймээс «түлхүүр зөв» ба «нууц үг зөв» хоёулаа үнэн байсан ч нэвтрэлт бүтэлгүйтэж болно. L2TP болон IPsec нь өөр өөр үе шатанд өөр өөр талыг баталгаажуулдаг. Хоёр давхаргын харьцуулалт, тэднийг тусгаарлах алдааны код нь эдгээр тикетүүдийн ихэнхийг хоёр утгыг дахин солихоос илүү хурдан хаадаг. Үе шатууд солигддоггүй бөгөөд таны өмнөх мессеж аль нь ажиллаж байгааг аль хэдийн хэлж байна.
Хоёр давхарга, хоёр өөр таних тэмдэг
Эхлээд IPsec түншийн баталгаажуулалт ажиллана. Клиент болон гарц нь туннелийн ачаа хамгаалагдахаас өмнө урьдчилж хуваалцсан түлхүүр эсвэл гэрчилгээгээр бие биедээ хэн болохоо батална. L2TP сессийн доторх PPP солилцоо дараа нь явагдах бөгөөд яг тэнд таны хэрэглэгчийн нэр, нууц үг серверийн бүртгэлийн сантай харьцуулагдан шалгагдана.
Үе шатууд нь бие даасан тул хүчинтэй хэрэглэгчийн бүртгэл буруу IPsec түлхүүрийг аварч чадахгүй, зөв түлхүүр хугацаа дууссан нууц үгийг аварч чадахгүй. Хоёуланг нь тикетэд тус тусад нь бичээрэй, оношилгоо нь ихэвчлэн үе шатыг нэрлэсэн эхний лог мөрөөс гардаг.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Хамтарсан нууц нь түншийг батална
Урьдчилж хуваалцсан түлхүүр бол гарц болон түүнд холбогддог клиент бүрт байдаг бүлгийн итгэмжлэл юм. Энэ нь түнш түлхүүрийг мэддэгийг тогтоож, үүнээс IKE холболтыг хамгаалах түлхүүрүүдийг гаргана. Тэр солилцоонд гар дээрх хүнийг таних зүйл байхгүй. Яг ийм учраас нэг туннельд хоёр дахь, хэрэглэгчийн түвшний нэвтрэлт байдаг.
Тэр загвар нь хүчингүй болгоход практик үр дагавартай. Нэг зөөврийн компьютер алдахад түүнийг ашигладаг бүх төхөөрөмжийн нууцыг эргүүлэх шаардлагатай, хэрэв байршуулалт гэрчилгээ рүү шилжээгүй бол; тэнд нэг төхөөрөмжийг бусад руу хүрэхгүйгээр устгаж болно. Солилцоо нь захиргааны хүчин чармайлт ба хохирлын хүрээ хоёрын хооронд.
Профайлд бичсэн түлхүүр нь дэлгэцийн зураг, чатаар алдагдах хамгийн хялбар итгэмжлэл юм. Үүнийг хувийн нууц үг биш, харин хамтарсан дэд бүтцийн материал гэж үзээрэй, учир нь энэ нь яг тэр юм.
Нэвтрэлт нь PPP-д хамаарна
L2TP сессийн дотор PPP нь баталгаажуулалтын талаар хэлэлцэж, серверээс таны оруулсан утгуудын хосыг шалгуулахыг хүснэ. Windows дээр эдгээр нь профайлын шаарддаг ижил хэрэглэгчийн нэр, нууц үг, харин чиглүүлэгч дээр PPP профайл дурдсан зүйл юм. Үүнийг бүртгэлийн сантай харьцуулж шалгадаг, түлхүүртэй биш. Хоёр хүн зөөврийн компьютер, түлхүүрийг хуваалцсан ч энэ үе шатанд ялгаатай танигдана.
Энэ нь хэрэглэгчийн баталгаажуулалт учраас бүртгэлийн бүх ердийн бодлого үйлчилнэ: хугацаа дууссан нууц үг, түгжигдсэн бүртгэл, залгах зөвшөөрөл, эсвэл домэйн агуулах ёстой нэр. 691 алдаа тэр хослолыг татгалзсан гэж мэдээлдэг тул ямар нэг зүйлийг дахин бичихээс өмнө серверийн нягтлан бодох бүртгэлийг уншаарай.
Алдаа талбарыг сонгох болтугай
789 алдаа аюулгүй байдлын давхаргыг нэрлэж, IPsec үе шатыг заана. Хоёр талын урьдчилж хуваалцсан түлхүүр яг таарч байгаа, гарцын хүлээж буй түншийн таних тэмдэг клиентийн илгээж буйтай тохирч байгаа, клиент өөр төрөлд биш, L2TP/IPsec-д тохируулагдсан эсэхийг баталгаажуулаарай.
691 алдаа итгэмжлэлүүдийг нэрлэж, PPP-д заана. Нууцыг солихоос өмнө бүртгэлийн төлөв болон нэрийн яг форматыг шалгаарай, учир нь хоёуланг нь зэрэг солих нь таны уншиж байсан нотолгоог устгана.
Туннель босч, трафик зогссон хэвээр байвал баталгаажуулалтын талбарыг засварыг бүрэн зогсоо. Хаягийн сан, клиентийн дэд сүлжээ рүү буцах зам, MTU-г хараарай: хоёр давхаргын харьцуулалт нь гэмтэл одоо ч тэдний дотор байх үед л тусална.