Rahsia Dikongsi atau Log Masuk Pengguna: Medan L2TP/IPsec Mana yang Gagal?
Kunci yang dikongsi terlebih dahulu membuktikan rakan, manakala nama pengguna dan kata laluan PPP membuktikan orangnya. Kod ralat memberitahu lapisan mana yang rosak.
Satu pejabat boleh memberikan rahsia IPsec yang sama kepada setiap komputer riba sementara setiap orang masih log masuk dengan akaun masing-masing, dan itulah sebabnya «kuncinya betul» dan «kata laluannya betul» boleh kedua-duanya benar tetapi log masuk tetap gagal. L2TP dan IPsec mengesahkan pihak yang berbeza pada peringkat yang berbeza. Perbandingan kedua-dua lapisan, dan kod ralat yang memisahkannya, menutup kebanyakan tiket ini lebih pantas daripada menukar kedua-dua nilai sekali lagi. Peringkatnya tidak boleh ditukar ganti, dan mesej di hadapan anda sudah menyatakan yang mana sedang berkuat kuasa.
Dua lapisan, dua identiti berbeza
Pengesahan rakan IPsec berjalan dahulu. Klien dan get laluan membuktikan siapa mereka antara satu sama lain, menggunakan kunci yang dikongsi terlebih dahulu atau sijil, sebelum sebarang muatan terowong dilindungi. Pertukaran PPP di dalam sesi L2TP berlaku selepas itu, dan di situlah nama pengguna dan kata laluan anda disemak terhadap stor akaun pelayan.
Peringkatnya bebas, jadi akaun pengguna yang sah tidak dapat menyelamatkan kunci IPsec yang salah, dan kunci yang betul tidak dapat menyelamatkan kata laluan yang tamat tempoh. Tulis kedua-duanya secara berasingan dalam tiket dan diagnosis biasanya keluar dari baris log pertama yang menamakan sesuatu peringkat.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Rahsia dikongsi membuktikan rakan
Kunci yang dikongsi terlebih dahulu ialah kelayakan kumpulan yang dipegang oleh get laluan dan setiap klien yang menyambung kepadanya. Ia menetapkan bahawa rakan mengetahui kunci itu, dan daripadanya IKE memperoleh kunci yang melindungi sambungan. Tiada apa pun dalam pertukaran itu mengenal pasti manusia di papan kekunci. Itulah sebabnya log masuk kedua, pada peringkat pengguna, wujud di dalam terowong yang sama.
Reka bentuk itu mempunyai akibat praktikal untuk pembatalan. Kehilangan satu komputer riba bermakna memutar rahsia untuk setiap peranti yang menggunakannya, melainkan penggunaan beralih kepada sijil, di mana satu peranti boleh dibuang tanpa menyentuh yang lain. Perdagangannya ialah usaha pentadbiran berbanding luas kerosakan.
Kunci yang ditaip ke dalam profil juga merupakan kelayakan yang paling mudah bocor melalui tangkapan skrin dan sembang. Perlakukan ia sebagai bahan infrastruktur dikongsi dan bukan sebagai kata laluan peribadi, kerana itulah sebenarnya.
Log masuk milik PPP
Di dalam sesi L2TP, PPP merundingkan pengesahan dan meminta pelayan mengesahkan pasangan nilai yang anda taipkan. Dalam Windows ia adalah nama pengguna dan kata laluan yang sama yang diminta oleh profil, dan pada penghala ia adalah apa yang dirujuk oleh profil PPP. Ia disemak terhadap stor akaun, bukan terhadap kunci. Dua orang boleh berkongsi komputer riba dan kunci dan masih dibezakan pada peringkat ini.
Kerana ia pengesahan pengguna, semua dasar akaun biasa terpakai: kata laluan tamat tempoh, akaun dikunci, kebenaran dail masuk, atau nama yang mesti membawa domain. Ralat 691 melaporkan gabungan itu sebagai ditolak, jadi baca rekod perakaunan pelayan sebelum menaip semula apa-apa.
Biarkan ralat memilih medan
Ralat 789 menamakan lapisan keselamatan dan menunjuk ke peringkat IPsec. Sahkan bahawa kunci yang dikongsi terlebih dahulu pada kedua-dua belah sepadan tepat, bahawa identiti rakan yang dijangkakan oleh get laluan sepadan dengan apa yang dihantar oleh klien, dan bahawa klien dikonfigurasikan untuk L2TP/IPsec dan bukan jenis lain.
Ralat 691 menamakan kelayakan dan menunjuk ke PPP. Semak keadaan akaun dan format nama yang tepat sebelum menukar rahsia, kerana menukar kedua-duanya sekali gus memusnahkan bukti yang anda baca.
Apabila terowong naik dan trafik masih berhenti, berhenti menyunting medan pengesahan sepenuhnya. Lihat kolam alamat, laluan balik ke subnet klien, dan MTU: perbandingan kedua-dua lapisan hanya membantu selagi kegagalan masih di dalamnya.