Нэг алдаа, гурван нууц: аль VPN нэвтрэх мэдээлэл амжилтгүй болсон бэ?
Клиент үе шат бүрт нэг алдаа харуулдаг. Хэн ч шалгаагүй нууц үгийг дахин тохируулахаас өмнө холбоос, хэрэглэгчийн солилцоо, аргыг уншина уу.
«Баталгаажуулалт амжилтгүй боллоо» гэдэг нь серверийн гэрчилгээ, машины урьдчилан хуваалцсан түлхүүр эсвэл хэрэглэгчийн нууц үгийг зааж болно. Аль нь болох нь протоколоос хамаарна, учир нь протокол бүр өөр өөр нууцын багц тодорхойлдог. Буруу нэгийг дахин тохируулбал алдаа өөрчлөгдөхгүй хэвээр үлдэнэ. Гарах зам нь ямар нэгэн зүйлийг засахаас өмнө протокол хэдэн баримт шаарддагийг тодорхойлох явдал юм.
Эсрэг чиглэлд заасан хоёр баримт
Туннель зөв гарцанд хүрсэн эсэх, мөн тусдаа хэрэглэгч хэн болохыг хариулах ёстой. Гарцын баримт нь машины түвшинд: серверийн гэрчилгээ, урьдчилан хуваалцсан түлхүүр эсвэл статик нийтийн түлхүүр. Хэрэглэгчийн баримт нь хүний түвшинд: нууц үг, токен, клиентийн гэрчилгээ эсвэл огт юу ч биш. Эдгээр нь итгэлийн эсрэг чиглэл бөгөөд өөр материал зарцуулдаг.
IKEv2 гарцын баримтыг IKE_AUTH дотор гүйцэтгэдэг бөгөөд EAP ашигласан үед дараа нь хэрэглэгчийн баримтыг тусдаа солилцоонд ажиллуулдаг. IKEv2-ын тодорхойлолт эдгээрийг тусдаа хэсэг болгон хадгалдаг бөгөөд нэг мессеж хоёр үеийг хамарсан үед хаанаас харахыг заасан хүчтэй сануулга юм.
Мессежийг биш, үе шатыг уншина уу
Аль үе шат амжилтгүй болсноос үл хамааран клиент нэг алдааны мөр харуулдаг, тиймээс мөр нь өөрөө бараг ямар ч мэдээлэл агуулдаггүй. Мэдээлэл агуулдаг нь үе шат бүрт шалгаж болох төлөв: холбоос байгаа эсэх, хэрэглэгчийн солилцоо эхэлсэн эсэх, клиент гарцын хүссэн аргыг санал болгосон эсэх. Хүснэгт үе шатуудыг протоколын нэрээр биш, яг ийм байдлаар эрэмбэлдэг.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Зөвхөн хоёр дахь мөр нь хэрэглэгчийн дахин бичиж болох мэдээлэлд хамаарна. Бусад гурав нь тохиргооны баримт бөгөөд яг энэ зөрүү нь ийм тайлангийн олон нь юу ч өөрчлөхгүй нууц үгийн дахин тохируулгаар төгсдөгийн шалтгаан юм. Ямар нэг талбарт хүрэхээс өмнө нотолгоотой тань тохирох мөрийг уншина уу.
Хоёр нууцтай протокол картаа харуулдаг
L2TP IPsec дээгүүр тоог харагдахуйц болгодог, учир нь хоёр шалгалт өөр процесс дээр явагддаг. IPsec давхарга эхлээд урьдчилан хуваалцсан түлхүүр эсвэл гэрчилгээгээр босох ёстой бөгөөд зөвхөн дараа нь дотор нь байгаа PPP хэрэглэгчийн нэвтрэлтийг оролддог.
Машины нууц буруу бол холбоос үүсэхгүй бөгөөд хэрэглэгчийн мэдээлэл хэзээ ч туршигдахгүй. Машины нууц зөв, харин хэрэглэгчийн нууц буруу бол холбоос байгаа бөгөөд туннель аль хэдийн боссны дараа PPP нэвтрэлтийг татгалздаг. Хоёулаа дэлгэц дээр хоёр өөр үйл явдлаас ижил мессеж гаргадаг.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerХоосон холбоосын жагсаалт хэрэглэгчийн давхаргыг тэр даруй хасдаг тул нууц үгээс өмнө шалгана уу. Давтан PPP алдаатай тогтсон холбоос нөгөө чиглэлд, хэрэглэгчийн давхарга эсвэл түүний доторх баталгаажуулалтын протокол руу заадаг. Хоёр дүгнэлтийн аль нь ч клиентийн алдааны текстээс боломжгүй.
Зөвхөн нууц үгээр нэвтрэх нь юунаас хамаардаг вэ
Зөвхөн нууц үгээр нэвтрэх нь L2TP, PPTP, SSTP болон EAP-тай IKEv2-д ердийн зүйл. WireGuard-д ийм сонголт огт байхгүй, учир нь түүний түншүүд хэрэглэгчид биш, түлхүүрүүд юм. OpenVPN-ийн хувьд хариулт нь серверийн клиентийн гэрчилгээний шаардлагаас ирдэг: гэрчилгээ болон нууц үгийг хоёуланг нь шаарддаг гарц нь талбарт юу бичсэн ч зөвхөн нууц үгтэй клиентийг үргэлжлүүлэн татгалзана.
Ямар бүрэлдэхүүн хэрэгтэй вэ гэдэг нь мөнөөх хариултаас гардаг. IKEv2-ын дор нууц үгээр нэвтрэхэд EAP ярьдаг клиент шаардлагатай бол гэрчилгээгээр нэвтрэхэд клиентийн хувийн түлхүүр болон серверийн гинжин хэлхээ хэрэгтэй. Буруу нэгийг суулгавал баталгаажуулалтын арга өөрөө дутуу байхад ч алдаа нь нэвтрэх мэдээллийн алдаа мэт уншигдана.
Нэг зүйлийг өөрчилж, дараа нь дахин шалгана уу
Эхлээд гурван баримтыг тогтооно уу: аль протокол ажиллаж байгаа, хэдэн нууц тодорхойлдог, тэдгээрийн аль нь хэрэглэгчид биш машинда хамаарах вэ. Машинууд эхний үе шатанд, харин хүмүүс хоёр дахь үе шатанд бүтэлгүйтдэг бөгөөд энэ хоёрыг андуурах нь энэ бүх асуудал юм.
Дараа нь яг нэг зүйлийг өөрчилж, мөнөөх клиентээс дахин шалгана уу. Тэр сахилга бат нь будлиантай бүтэлгүйтлийг дараагийн хүнд тайлбарлаж болох засвар болгон хувиргадаг бөгөөд энэ нь хэн ч тайлбарлаж чадахгүй ажиллаж байгаа холболтоос илүү ашигтай.