L2TP/IPsec ifalli: iżola IPsec, l-awtentikazzjoni tat-tunnel jew id-dħul PPP

Tliet affarijiet jawtentikaw ruħhom ġewwa konnessjoni waħda L2TP/IPsec, u waħda biss minnhom tikkonċerna lill-persuna li ċċempel. IPsec jipprova l-punti tat-tarf tat-tunnel, il-konnessjoni tal-kontroll L2TP tista' terġa' tipprova l-pari bis-sigriet tagħha stess, u mbagħad PPP jipprova l-kont tal-utent ġewwa s-sessjoni. Falliment f'kull stadju jidher bħala żball ġeneriku tad-dħul fid-djalogu tal-klijent u jidher kompletament differenti fil-log tas-server. Għaddi mill-istadji bil-qies u waqaf fl-ewwel wieħed li jfalli, għax kull stadju taħt stadju li ma ġiex ittestjat huwa wkoll mhux ittestjat.

Tliet stadji tal-awtentikazzjoni, tliet identitajiet differenti

IPsec jipprova ta' min huma l-punti tat-tarf, billi juża ċavetta maqsuma minn qabel jew ċertifikat. Dik l-identità tappartjeni lill-magni jew lill-gateways, qatt lill-bniedem quddiem it-tastiera. Meta l-pari ma jirnexxilhomx jaqblu f'dan l-istadju, l-ebda pakkett L2TP ma jiġi skambjat.

Il-konnessjoni tal-kontroll L2TP tista' żżid tieni skambju ta' sfida u tweġiba, separat, immexxi minn sigriet komuni li jrid ikollhom iż-żewġ trufijiet.

RFC 2661 jagħmel dik l-awtentikazzjoni tal-konnessjoni tal-kontroll fakultattiva, u dan jispjega għaliex l-istess żball jagħti sintomi differenti fuq żewġ servers. L-iskjerament li qatt ma kkonfigura sigriet tat-tunnel jaqbeż l-istadju għal kollox; dak li kkonfigurah biss fuq naħa waħda jfalli qabel ma PPP jiġi offrut. Imbagħad PPP jawtentika lill-utent b'PAP, CHAP jew MSCHAPv2 u jgħaddi l-isem lil maħżen tal-kontijiet li jista' jkun lokali, f'chap-secrets jew fuq RADIUS. Password żbaljata f'dak il-punt xorta tħallik b'tunnel li jaħdem u sessjoni li falliet.

Aqra l-punt tal-waqfien qabel ma tbiddel konfigurazzjoni

Ibda b'ipsec --version sabiex tkun taf jekk l-output tal-istat huwiex ta' strongSwan jew ta' Libreswan. Imbagħad aqra l-log tas-server, mhux id-djalogu tal-klijent, għax is-server jirrekordja liema stadju rrifjuta.

Linja waħda normalment issolvi l-biljett: ilment dwar IKE jew proposti huwa l-istadju wieħed, messaġġ dwar il-konnessjoni tal-kontroll huwa t-tieni stadju, u rifjut tal-metodu PPP jew tal-kont huwa t-tielet stadju. Ikkopja dik il-linja fil-biljett mat-timbru tal-ħin. L-istejjer mill-ġenb tal-klijent jaħlu l-unika prova li diġà għandek.

Żomm materjal taċ-ċavetta u passwords 'il bogħod minn dik il-pejst; l-isem tal-istadju jmexxi x-xogħol, u ċavetta maqsuma minn qabel li tinqabad terġa' tiftaħ il-biljett b'konsegwenzi agħar.

L-ewwel stadju: IPsec għandu assoċjazzjoni?

Mexxi ipsec statusall fuq strongSwan jew ipsec whack --status fuq Libreswan u fittex assoċjazzjoni tat-tifel stabbilita b'numraturi li mhumiex żero. ip xfrm state juri l-veduta tal-kernel fuq it-tnejn. Par SA installat b'numraturi li jogħlew ifisser li l-ewwel stadju tlestiet u tista' tkompli.

In-nuqqas kollu ta' assoċjazzjoni jindika l-indirizz tal-pari, is-sett ta' proposti jew iċ-ċavetta maqsuma minn qabel, u xi drabi apparat li jerġa' jikteb UDP 500 filwaqt li jwarrab UDP 4500. Assoċjazzjoni li tiġi stabbilita u mbagħad tisparixxi wara ftit sekondi normalment hija nuqqas ta' qbil fil-ħajja bejn iż-żewġ trufijiet u mhux problema ta' kredenzjali. Iċċekkja jekk iż-żewġ naħat jelenkawx l-istess proposti ta' kriptaġġ u hash qabel ma terġa' tikteb xi ħaġa. Jekk le, l-ebda ċavetta qatt ma taħdem.

Waqqaf sakemm l-assoċjazzjoni hija nieqsa. L-editjar tal-għażliet PPP f'dak il-punt ma jbiddel xejn u jaħbi l-ħsara vera mill-persuna li jmiss.

It-tieni stadju: il-konnessjoni tal-kontroll L2TP awtentikat?

Ladarba IPsec ikun ħaj, osserva d-daemon L2TP għal konnessjoni tal-kontroll li tasal fi stat stabbilit, għax PPP ma jistax jibda qabel dan. Rifjut fuq il-konnessjoni tal-kontroll ifisser li s-sigriet tat-tunnel ivarja bejn it-trufijiet, jew li tarf wieħed jitlob sigriet li l-ieħor qatt ma jibgħat. Il-klijenti spiss juru qasam wieħed b'tikketta shared secret, u normalment jappartjeni lill-IPsec u mhux lill-L2TP. Il-mili tiegħu ma jikkonfigurax is-sigriet tat-tunnel, u t-tindif tiegħu ma jiddiżattivahx.

Jekk l-ebda naħa ma kkonfigurat sigriet tat-tunnel, aqbeż dan l-istadju u ittratta falliment tal-konnessjoni tal-kontroll bħala problema ta' aċċessibbiltà minflok. Ikkonferma li UDP 1701 jasal sad-daemon u li ż-żewġ trufijiet jaqblu fuq l-istess inkapsulazzjoni. Regola tal-firewall miktuba għal waħda minn dawk iż-żewġ kundizzjonijiet hija kawża komuni ta' konnessjoni li tiftaħ nofs.

Sessjoni biss li tibda tinnegozja PPP tkun tassew għaddiet mill-istadju tat-tunnel.

It-tielet stadju: PPP qed jirrifjuta l-kont?

Falliment PPP jidher differenti minn barra: it-tunnel huwa stabbilit, is-sessjoni tibda, u d-daemon jirrekordja falliment tal-metodu tal-awtentikazzjoni jew rifjut tal-kont. Aqra l-metodu msemmi f'dak il-messaġġ. PAP u CHAP ifallu għal raġunijiet differenti, u server li jirrifjuta wieħed se jirrifjuta klijent li joffri biss dak.

Fuq server Linux, iċċekkja l-fajl tal-għażliet li d-daemon jgħaddi lill-PPP, normalment /etc/ppp/options.xl2tpd, u kkonferma liema metodi huma aċċettati u fejn jiġu solvuti l-kontijiet. Isem li jeżisti f'RADIUS iżda mhux fil-fajl tas-sigrieti lokali jfalli b'mod nadif u jidher bħal password żbaljata. Imbagħad iċċekkja li l-klijent joffri metodu li s-server jaċċetta, mhux wieħed aktar qawwi li s-server jirrifjuta jinnegozja. It-tibdil taċ-ċavetta maqsuma minn qabel biex isewwi dan l-istadju jaħli wara nofsinhar u ma jbiddel xejn.

Meta s-sessjoni fl-aħħar tqum, l-allokazzjoni tal-indirizzi, DNS u r-rotot għadhom ma ġewx iċċekkjati, u kull waħda tfalli bil-kwiet bil-mod tagħha. Żomm it-tliet saffi separati fin-noti tiegħek: ċavetta korretta b'kont żbaljat dejjem tfalli, u t-tiswija ta' saff wieħed qatt ma ssewwi ieħor.