Żball wieħed, tliet sigrieti: liema kredenzjali tal-VPN falliet?
Il-klijent juri żball wieħed għal kull stadju. Aqra l-assoċjazzjoni, l-iskambju tal-utent u l-metodu qabel ma terġa’ tissettja password li ħadd ma vverifika.
«L-awtentikazzjoni falliet» tista’ tindika ċertifikat tas-server, ċavetta kondiviża minn qabel tal-magna jew password tal-utent. Liema minnhom hija l-ħsieb jiddependi mill-protokoll, għax kull protokoll jiddefinixxi sett differenti ta’ sigrieti. Erġa’ ssettja l-ħażin u l-iżball jibqa’ bla tibdil. It-triq ’il barra hija li tiddetermina kemm provi jeħtieġ il-protokoll qabel ma tbiddel xejn.
Żewġ provi li jindikaw direzzjonijiet opposti
Tunnel irid iwieġeb jekk wasalx għall-gateway t-tajba, u b’mod separat min hu l-utent. Il-prova tal-gateway hija fil-livell tal-magna: ċertifikat tas-server, ċavetta kondiviża minn qabel jew ċavetta pubblika statika. Il-prova tal-utent hija fil-livell tal-persuna: password, token, ċertifikat tal-klijent, jew xejn. Dawn huma direzzjonijiet opposti ta’ fiduċja u jikkonsmaw materjal differenti.
IKEv2 jwettaq il-prova tal-gateway fi ħdan IKE_AUTH u, meta jintuża EAP, imbagħad iħaddem il-prova tal-utent fi skambju separat. l-ispeċifikazzjoni tal-IKEv2 iżżommhom bħala taqsimiet separati, li hija ħjiel qawwi dwar fejn wieħed iħares meta messaġġ wieħed ikopri ż-żewġ rawnds.
Aqra l-istadju, mhux il-messaġġ
Il-klijent juri string wieħed ta’ żball tkun liema tkun l-istadju li falliet, għalhekk is-string innifsu kważi ma jġorr ebda informazzjoni. Li jġorr informazzjoni huwa l-istat li tista’ tispezzjona f’kull stadju: jekk teżistix assoċjazzjoni, jekk bdiex skambju tal-utent u jekk il-klijent offriex il-metodu li ried il-gateway. It-tabella tordna l-istadji b’dan il-mod u mhux bl-isem tal-protokoll.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
It-tieni ringiela biss tittratta kredenzjali li l-utent jista’ jerġa’ jittajpja. It-tlieta l-oħra huma fatti tal-konfigurazzjoni, u dan in-nuqqas ta’ qbil huwa r-raġuni għalfejn ħafna minn dawn ir-rapporti jispiċċaw b’reset tal-password li ma jbiddel xejn. Aqra r-ringiela li taqbel mal-prova tiegħek qabel ma tmiss qasam.
Protokoll b’żewġ sigrieti juri l-karti tiegħu
L2TP fuq IPsec jagħmel l-għadd viżibbli, għax iż-żewġ kontrolli jsiru fi proċessi differenti. Is-saff IPsec irid l-ewwel jitla’ b’ċavetta kondiviża minn qabel jew b’ċertifikat, u biss wara l-PPP ġewwa fih jipprova dħul tal-utent.
Meta s-sigriet tal-magna jkun ħażin, ma tifforma l-ebda assoċjazzjoni u l-kredenzjali tal-utent qatt ma jiġu ppruvati. Meta s-sigriet tal-magna jkun tajjeb u s-sigriet tal-utent ħażin, l-assoċjazzjoni teżisti u PPP tirrifjuta d-dħul wara li t-tunnel ikun diġà qam. It-tnejn jipproduċu l-istess messaġġ fuq l-iskrin minn żewġ avvenimenti differenti.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerLista vojta ta’ assoċjazzjonijiet teskludi s-saff tal-utent minnufih, għalhekk iċċekkjaha qabel il-password. Assoċjazzjoni stabbilita b’fallimenti PPP ripetuti tindika d-direzzjoni l-oħra, lejn is-saff tal-utent jew lejn il-protokoll tal-awtentikazzjoni ġewwa fih. L-ebda waħda miż-żewġ konklużjonijiet mhi disponibbli mit-test tal-iżball tal-klijent.
Minn xiex tiddependi verament l-aċċess bil-password biss
L-aċċess bil-password biss huwa normali għal L2TP, PPTP, SSTP u IKEv2 bl-EAP. WireGuard m’għandux opzjoni bħal din xejn, għax il-pari tiegħu huma ċwievet u mhux utenti. Għall-OpenVPN it-tweġiba tiġi mir-rekwiżit taċ-ċertifikat tal-klijent tas-server: gateway li jitlob kemm ċertifikat kif ukoll password se jkompli jirrifjuta klijent bil-password biss, tkun x’tkun ittajpjat fil-qasam.
Liema komponent għandek bżonn joħroġ mill-istess tweġiba. Dħul bil-password taħt IKEv2 jeħtieġ klijent li jitkellem EAP, filwaqt li dħul biċ-ċertifikat jeħtieġ iċ-ċavetta privata tal-klijent u l-katina tas-server. Jekk tinstalla l-ħażin, il-falliment jinqara bħala żball ta’ kredenzjali anke jekk il-metodu tal-awtentikazzjoni nnifsu huwa dak li jonqos.
Biddel ħaġa waħda, imbagħad erġa’ ttestja
L-ewwel stabbilixxi tliet fatti: liema protokoll qiegħed jaħdem, kemm sigrieti jiddefinixxi u liema minnhom jappartjenu lill-magna u mhux lill-utent. Il-magni jonqsu fl-ewwel stadju u n-nies jonqsu fit-tieni, u li tħallat it-tnejn hija din il-problema kollha.
Imbagħad biddel eżattament ħaġa waħda u erġa’ ttestja mill-istess klijent. Dik id-dixxiplina tibdel falliment konfuż fi tiswija li tista’ tiddeskrivi lill-persuna li jmiss, u dan huwa aktar utli minn konnessjoni li taħdem li ħadd ma jista’ jispjega.