Pertukaran IKEv2 berjaya, kemudian pengesahan gagal: di mana hendak dicari

Klien yang menerima respons IKEv2 telah membuktikan bahawa gateway boleh dicapai, bahawa kedua-dua pihak boleh berunding tentang cadangan dan bahawa pertukaran kunci awal telah selesai. Ia belum membuktikan bahawa sesiapa telah disahkan. Pertukaran seterusnya membawa identiti, sijil atau EAP, dan di situlah sambungan biasanya berhenti. Membaca pemeriksaan mana yang gagal ialah keseluruhan diagnosis, dan mesej ralat sahaja jarang menyatakannya.

Pemeriksaan 1: baca peringkat, bukan mesej

Penolakan boleh datang dari tiga tempat: klien menolak identiti pelayan, gateway menolak bukti klien dan perkhidmatan pengesahan luaran menolak akaun.

Setiap satu menghasilkan baris log berbeza pada mesin berbeza, dan setiap satu mempunyai pembetulan berbeza. Penolakan sijil pelayan di pihak klien ialah masalah kepercayaan atau penamaan pada klien; penolakan sijil klien di pihak gateway ialah masalah kepercayaan pada gateway; kegagalan EAP ialah masalah akaun atau backend. Mesej yang anda lihat biasanya ringkasan klien tentang salah satu daripadanya, sebab itu log gateway sama pentingnya dengan log klien.

Pemeriksaan 2: identiti mana yang diperiksa

Klien boleh menolak sijil pelayan atau identiti yang dijangka sebelum sebarang kelayakan pengguna ditawarkan, dan alamat pelayan yang berfungsi bukan pengganti pemeriksaan itu. Pengecam yang dijangka oleh klien mesti sepadan dengan apa yang dibentangkan oleh gateway, yang merupakan fakta konfigurasi dan bukan fakta rangkaian.

Dalam istilah strongSwan itu ialah rightid pada klien dan identiti gateway sendiri di sebelah sana, dan ketidakpadanan gagal sebelum EAP dibincangkan.

Gateway, secara berasingan, boleh menolak sijil klien, bukti kuncinya atau pengesahan akaunnya, dan ketiga-tiganya tidak boleh ditukar ganti. Menetapkan semula kata laluan pengguna tidak memperbaharui sijil peranti, dan memasang semula sijil peranti tidak membaiki identiti pelayan yang salah. Untuk kegagalan sijil, periksa jam dahulu, kemudian rantaian kepercayaan, kemudian pengecam yang dijangka; klien yang jamnya terpesong beberapa minit gagal pemeriksaan kesahihan yang kelihatan seperti kegagalan kepercayaan. swanctl --list-certs di kedua-dua hujung menunjukkan apa yang sebenarnya dipegang oleh setiap pihak.

Pemeriksaan 3: jika EAP terlibat

Klien dan pelayan mesti bersetuju tentang kaedah yang disokong, dan backend mesti menerima identiti yang diberikan.

Nama pengguna mungkin memerlukan akhiran domain atau format akaun tertentu yang dikehendaki oleh penggunaan, dan format itu didokumenkan dan bukan boleh diteka. Memberikan medan yang didokumenkan oleh pengendali lebih pantas daripada mencuba variasi, dan ia mengelakkan masalah kedua: percubaan berulang boleh mencetuskan kunci akaun, yang kemudian menyembunyikan peringkat asal di sebalik kegagalan baharu. Jika kaedahnya EAP-MSCHAPv2 terhadap direktori, kegagalan itu mungkin milik direktori dan bukan VPN.

Jangan uji masalah identiti dengan mematikan pemeriksaan identiti. Itu menukar kegagalan yang boleh didiagnosis menjadi tidak boleh didiagnosis dan meninggalkan sambungan lebih lemah daripada sebelumnya.

Pemeriksaan 4: apa yang berlaku selepas log masuk berjaya

Sebaik sahaja IKE_AUTH selesai, rundingan CHILD_SA menentukan pemilih trafik mana yang dipasang, dan di situlah sambungan boleh berjaya tetapi tidak menghantar apa-apa.

Log masuk yang baru berfungsi sering mendedahkan masalah pemilih atau laluan yang sebelum ini tersembunyi di sebalik kegagalan pengesahan. Jika tunnel naik dan aplikasi masih tidak sampai ke destinasinya, lihat pemilih dan laluan yang dirundingkan dan bukan identiti lagi. Menukar tetapan identiti pada ketika itu menyasarkan peringkat yang salah dan biasanya merosakkan log masuk yang berfungsi. Sahkan dengan swanctl --list-sas, yang menunjukkan anak dan pemilih mereka secara berasingan daripada IKE SA.

Pemeriksaan 5: apa yang perlu diserahkan kepada sokongan

Garis masa yang dibersihkan dan penolakan yang tepat lebih bernilai daripada eksport diagnostik penuh, dan eksport itu mungkin mengandungi kunci peribadi atau kelayakan yang tidak patut anda kongsi.

Catat masa dengan zon waktu, versi klien dan gateway, kaedah, rentetan identiti yang ditawarkan dan bukan kata laluan, serta peringkat tepat yang menolaknya. dokumentasi konfigurasi IKEv2 strongSwan menerangkan tetapan identiti dan EAP yang menentukan hasil ini, dan itulah rujukan yang perlu dibaca sebelum menukar sesuatu medan. Kemudian tukar satu perkara dan uji semula sambungan baharu, kerana sesi yang dicache akan memberitahu anda tentang konfigurasi lama.