L-iskambju IKEv2 jaħdem, imbagħad l-awtentikazzjoni tfalli: fejn tfittex

Klijent li jirċievi risposta IKEv2 ipprova li l-gateway jista’ jintlaħaq, li ż-żewġ naħat jistgħu jinnegozjaw proposta u li l-iskambju inizjali tal-ċwievet tlestiet. Iżda ma pprovax li xi ħadd huwa awtentikat. L-iskambju li jmiss iġorr identitajiet, ċertifikati jew EAP, u hemmhekk il-konnessjoni normalment tieqaf. Li taqra liema minn dawn il-verifiki falliet hija d-dijanjosi kollha, u l-messaġġ tal-iżball waħdu rari jgħidha.

Verifika 1: aqra l-fażi, mhux il-messaġġ

Rifjut jista’ jiġi minn tliet postijiet: il-klijent li jirrifjuta l-identità tas-server, il-gateway li jirrifjuta l-prova tal-klijent u servizz ta’ awtentikazzjoni estern li jirrifjuta l-kont.

Kull wieħed jipproduċi linja ta’ log differenti fuq magna differenti, u kull wieħed għandu soluzzjoni differenti. Rifjut taċ-ċertifikat tas-server fuq in-naħa tal-klijent hija problema ta’ fiduċja jew ta’ ismijiet fuq il-klijent; rifjut taċ-ċertifikat tal-klijent fuq in-naħa tal-gateway hija problema ta’ fiduċja fuq il-gateway; falliment tal-EAP hija problema tal-kont jew tal-backend. Il-messaġġ li tara huwa normalment is-sommarju tal-klijent ta’ wieħed minn dawn, u għalhekk il-log tal-gateway huwa importanti daqs dak tal-klijent.

Verifika 2: liema identità ġiet ivverifikata

Klijent jista’ jirrifjuta ċ-ċertifikat tas-server jew l-identità mistennija qabel ma tiġi offruta kwalunkwe kredenzjali tal-utent, u indirizz tas-server li jaħdem mhuwiex sostitut għal dik il-verifika. L-identifikatur li l-klijent jistenna għandu jaqbel ma’ dak li jippreżenta l-gateway, li hija fatt ta’ konfigurazzjoni u mhux fatt tan-netwerk.

F’termini ta’ strongSwan dan huwa rightid fuq il-klijent u l-identità tal-gateway stess fuq in-naħa l-oħra, u nuqqas ta’ qbil ifalli qabel ma ssir diskussjoni dwar EAP.

Il-gateway, b’mod separat, jista’ jirrifjuta ċ-ċertifikat tal-klijent, il-prova taċ-ċavetta tiegħu jew l-awtentikazzjoni tal-kont tiegħu, u dawn it-tlieta mhumiex interkambjabbli. Li terġa’ tissettja l-password tal-utent ma ġġeddedx ċertifikat tal-apparat, u li terġa’ tinstalla ċertifikat tal-apparat ma tissewwix identità tas-server żbaljata. Għal fallimenti taċ-ċertifikat, iċċekkja l-arloġġ l-ewwel, imbagħad il-katina tal-fiduċja, imbagħad l-identifikatur mistenni; klijent li l-arloġġ tiegħu huwa barra b’xi minuti jfalli verifika tal-validità li tidher bħal falliment tal-fiduċja. swanctl --list-certs fuq iż-żewġ trufijiet juri x’għandha fil-fatt kull naħa.

Verifika 3: jekk l-EAP hija involuta

Il-klijent u s-server iridu jaqblu fuq metodu appoġġjat, u l-backend irid jaċċetta l-identità fornuta.

Isem tal-utent jista’ jkun jeħtieġ suffiss tad-dominju jew format ta’ kont speċifiku li teħtieġ id-deployment, u l-format huwa dokumentat u mhux immaġinabbli. Li tipprovdi l-oqsma dokumentati tal-operatur huwa aktar malajr milli tipprova varjanti, u jevita t-tieni problema: tentattivi ripetuti jistgħu jikkawżaw lockout tal-kont, li mbagħad jaħbi l-fażi oriġinali wara falliment ġdid. Jekk il-metodu huwa EAP-MSCHAPv2 kontra direttorju, il-falliment jista’ jkun tad-direttorju u mhux tal-VPN.

Tittestjax problemi ta’ identità billi tiddiżattiva l-verifiki tal-identità. Dan ibiddel falliment dijanjostikabbli fi falliment mhux dijanjostikabbli u jħalli l-konnessjoni aktar dgħajfa minn qabel.

Verifika 4: x’jiġri wara login ta’ suċċess

Ladarba IKE_AUTH jitlesta, in-negozjar tal-CHILD_SA jiddeċiedi liema seletturi tat-traffiku jiġu installati, u hemmhekk konnessjoni tista’ tirnexxi u xorta ma tgħaddix xejn.

Login li għadu kif beda jaħdem spiss jiżvela problema ta’ selettur jew rotta li qabel kienet moħbija wara l-falliment tal-awtentikazzjoni. Jekk il-mina titla’ u applikazzjoni xorta ma tilħaqx id-destinazzjoni tagħha, ħares lejn is-seletturi u r-rotot innegozjati u mhux lejn l-identità mill-ġdid. Li tbiddel is-settings tal-identità f’dak il-punt jimmira lejn il-fażi żbaljata u normalment ikisser login li jaħdem. Ikkonferma b’swanctl --list-sas, li juri t-tfal u s-seletturi tagħhom separatament mill-IKE SA.

Verifika 5: x’għandu jingħata lill-appoġġ

Linja ta’ żmien imnaddfa u r-rifjut preċiż jiswew aktar minn esportazzjoni dijanjostika sħiħa, u l-esportazzjoni tista’ jkun fiha ċwievet privati jew kredenzjali li m’għandekx taqsam.

Irreġistra l-ħin biż-żona tal-ħin, il-verżjonijiet tal-klijent u tal-gateway, il-metodu, is-sekwenza tal-identità offruta u mhux il-password, u l-fażi eżatta li rrifjutatha. Id-dokumentazzjoni tal-konfigurazzjoni IKEv2 ta’ strongSwan tiddeskrivi s-settings tal-identità u tal-EAP li jiddeterminaw dawn ir-riżultati, u hija r-referenza li għandha tinqara qabel ma tinbidel qasam. Imbagħad ibdel ħaġa waħda u erġa’ ttestja konnessjoni ġdida, għax sessjoni fil-cache tgħidlek dwar il-konfigurazzjoni l-qadima.