Liema stadju tal-VPN falla: IPsec, il-kontroll L2TP jew l-awtentikazzjoni PPP
Sib l-aħħar stadju li rnexxa u sewweġ biss dak is-saff: IPsec, il-kanal tal-kontroll L2TP, l-awtentikazzjoni PPP jew l-assenjazzjoni tal-indirizzi.
Biddilt il-password u xejn ma tħarreġ, għax il-ħsara qatt ma kienet fil-PPP. L2TP/IPsec jirrapporta żball wieħed ta' konnessjoni għal ħames konsenji ferm differenti, u kull konsenja għandha t-tiswija tagħha. Aħdem lura: sib l-aħħar stadju li rnexxa u biddel biss dak li jiġi warajh. L-ordni hawn taħt tiddeċiedi wkoll liema provi tiġbor l-ewwel.
Wieġeb erba' mistoqsijiet bl-ordni
Ġġiegħel tentattiv ġdid, għax xi klijenti jibqgħu juru l-iżball preċedenti sakemm il-profil jiġi skonnettjat u jerġa' jiġi konness. Imbagħad wieġeb dan: kien hemm assoċjazzjoni ta' sigurtà IPsec, dehru konnessjoni tal-kontroll L2TP u sejħa, il-PPP wasal għal deċiżjoni ta' awtentikazzjoni, u l-IPCP ta indirizz lill-klijent? L-ewwel le huwa l-istadju li ssewweġ. Kollox warajh mhux ittestjat, għalhekk isem tal-utent miċħud ma jipprova xejn meta qatt ma kien hemm assoċjazzjoni.
Issinkronizza l-arloġġi fiż-żewġ trufijiet qabel ma tqabbel. Tentattiv mill-ġdid li naddaf l-IPsec u falla fil-PPP jidher bħala falliment wieħed meta l-klijent juri biss l-aħħar messaġġ u l-log tas-server għadu jżomm it-tentattiv preċedenti. Aqra bil-marka tal-ħin, mhux bl-aktar linja qawwija.
Meta għandek biss ix-xbieha tal-iskrin tal-utent, afdal fuq l-irħas qsim: ċavetta kondiviża minn qabel żbaljata u xl2tpd li qatt ma jwieġeb jipproduċu l-istess test fid-djalogu tal-Windows, iżda waħda teħtieġ sigriet mibdul fiż-żewġ trufijiet u l-oħra teħtieġ daemon mibdi jew regola tal-firewall fuq is-server innifsu. Apparat fin-nofs ma jistax iwarrab il-1701 ta' ġewwa wara li IPsec fil-modalità tat-trasport ikun għaqqadha, għalhekk tfittixx filtru tal-passaġġ li m'hemmx.
X'inhu fil-fatt proprjetà ta' kull saff
IPsec jipproteġi l-pakketti bejn iż-żewġ pari; L2TP iġorr sessjoni PPP ġewwa dak il-passaġġ protett, għalhekk RFC 3193 jispeċifika l-modalità tat-trasport minflok mina tiegħu. It-tikketta tal-klijent tgħid L2TP, għalhekk il-mina u d-dħul iħossuhom bħala mekkaniżmu wieħed. Mhumiex: il-konnessjoni tal-kontroll L2TP tawtentika t-truf tal-mina fejn l-implimentazzjoni tixgħelha, u l-PPP tawtentika l-utent b'mod separat bl-CHAP, PAP jew MS-CHAPv2 skont il-politika tas-server.
Dan il-qsim jispjega ż-żewġ sigrieti li n-nies jibqgħu jħawdu. Ċavetta kondiviża minn qabel tawtentika l-pari IPsec. Isem tal-utent u password jidentifikaw l-utent lill-PPP. It-tip mill-ġdid tas-sigriet kondiviż tal-Windows fuq profil li jawtentika b'ċertifikati ma jbiddel xejn fl-istadju li jfalli, u l-editjar tal-password PPP ma jistax jipprovdi kanal protett nieqes. L-istess rażan japplika għall-verifika tal-identità: tħallix l-identità tal-pari jew il-validazzjoni taċ-ċertifikat mitfija biex tikseb mina, għax dakinhar jgħaqqad il-passaġġ, mhux il-pari.
L-awtentikazzjoni lanqas hi t-tmiem tal-PPP. Wara li l-utent jiġi aċċettat, l-IPCP jinnegozja l-indirizz tal-klijent u l-għażliet DNS u WINS li s-server huwa lest jagħti. Klijent jista' jgħaddi mill-CHAP jew mill-MS-CHAPv2 u xorta jibqa' mingħajr indirizz, li huwa falliment ġewwa l-PPP u mhux problema ta' routing. L2TP sempliċi mingħajr IPsec jibqa' validu u mhux protett, għalhekk konnessjoni b'suċċess qatt ma tipprova li t-traffiku huwa protett; iċċekkja x'jimponi s-server, mhux it-tikketta tal-klijent.
Iddeċiedi mill-ewwel stadju nieqes
Aqra t-tabella bl-ewwel element nieqes, mix-xellug għall-lemin. Il-kolonna tal-lemin hija l-unika xogħol li jiswa f'dak il-mument; kollox fuq ix-xellug tagħha huwa diġà ppruvat, u li terġa' tittestjah jaħraq it-tieqa tal-interruzzjoni mingħajr ma jżid informazzjoni.
| First thing missing | What it means | Change this |
|---|---|---|
| No IKE reply on 500 or 4500 | The path or the listener never answered | Firewall, NAT-T forwarding, server listener |
| IKE runs, no IPsec association | Identity, key, or proposal mismatch | Proposal and PFS set, pre-shared key, local and remote ID |
| Association up, no L2TP control connection | Inner signalling never reached xl2tpd | UDP 1701, tunnel and session sections, NAT encapsulation |
| Control connection up, PPP auth refused | The user or method was rejected | Credential format, allowed auth method, account policy |
| PPP auth accepted, no address assigned | IPCP never completed | Address pool in xl2tpd.conf, ms-dns and ms-wins in options.xl2tpd |
| Address assigned, applications fail | The inner path is wrong | Routes, DNS, MTU or MSS, server forwarding |
Tliet ringieli jistħoqqilhom twissija. Ir-ringiela 1701 hija fejn il-klijenti Windows wara NAT normalment jinżlu: l-assoċjazzjoni titlesta, imbagħad xejn ma jasal, u l-kawża hija l-inkapsulament mhux password ħażina. Ir-ringiela IPCP hija dik li tinqara ħażin bħala problema ta' rotta, għax il-Windows tgħatti indirizz nieqes fl-iżball 720 u l-ikona tat-trej tgħid biss li l-konnessjoni falliet; dak il-falliment jinsab wara l-awtentikazzjoni u qabel ir-routing. L-aħħar ringiela mhijiex falliment IPsec xejn, għalkemm l-ikona tgħid skonnettjat.
Kmandi li jifirdu s-saffi
Fuq server Linux b'strongSwan, swanctl --list-sas jelenka l-assoċjazzjonijiet stabbiliti bl-identità tal-pari, u ipsec statusall tkopri hosts strongSwan u libreswan eqdem. Taħtu ip xfrm state juri l-assoċjazzjonijiet reali tal-kernel, filwaqt li ss -lunp | grep 1701 jipprova fejn huwa marbut xl2tpd. Mexxi xl2tpd -D fil-quddiem biex tara konnessjonijiet tal-kontroll u sejħiet jidhru, u ixgħel id-debug tal-pppd f'/etc/ppp/options.xl2tpd biex tara l-metodu offrut u t-tweġiba.
Meta l-logs juru awtentikazzjoni b'suċċess, il-mistoqsija li jmiss hija jekk l-IPCP tlesta. Iċċekkja jekk ip range fit-taqsima [lns default] ta' /etc/xl2tpd/xl2tpd.conf għadx għandux indirizzi ħielsa, u jekk /etc/ppp/options.xl2tpd tassew iġorrx ms-dns u ms-wins jekk il-klijent jistenna minnhom. Ġabra eżawrita u għażla DNS nieqsa jidhru differenti fuq il-wajer: l-ewwel tħalli lill-klijent mingħajr indirizz u b'720, it-tieni tagħti indirizz iżda l-ebda solver, għalhekk l-ismijiet jfallu waqt li l-ping lejn indirizzi mhux maħduma jaħdem. L-ebda waħda mhi msewwija billi terġa' ddaħħal il-password.
Fuq il-klijent, il-plugin L2TP tan-NetworkManager jikteb il-konversazzjoni tal-pppd fil-ġurnal, għalhekk journalctl -u NetworkManager -b normalment jifred mina 'l fuq, awtentikazzjoni miċħuda minn l-ebda mina xejn. Fuq Windows, Get-VpnConnection jirrapporta s-settings tal-awtentikazzjoni reali tal-profil, u l-avvenimenti RasClient taħt Application fl-Event Viewer isemmu l-komponent li jfalli. Meta d-djalogu jkun vag wisq, ippermetti netsh ras set tracing * enable.
It-teħid jeħtieġ prekawzjoni waħda. Bl-IPsec fil-modalità tat-trasport l-UDP 1701 ta' ġewwa huwa ċċifrat, għalhekk teħid fuq l-interface ta' barra juri ESP, jew UDP 4500 taħt NAT-T, u l-ebda L2TP xejn. In-nuqqas tal-1701 fi teħid huwa mistenni u mhux prova ta' port imblukkat; osserva jekk il-kontaturi tal-ESP jew tal-4500 jiċċaqalqux.
NAT, MTU u rotot: fejn il-munzell iqarraq bik
NAT ikisser l-assunzjonijiet qabel ma xi ħaġa tiġi awtentikata. ESP huwa protokoll IP tiegħu stess, għalhekk apparat li jittraduċi jarmih sakemm il-pari ma jinkapsulawx; dan jipprovdih l-UDP 4500. Fuq server Windows li hu stess wara router tad-dar jew gateway NAT tal-cloud, l-istadju IPsec ifalli bl-iżball 789 sakemm AssumeUDPEncapsulationContextOnSendRule jiġi ssettjat għal 2 taħt il-muftieħ PolicyAgent u l-magna terġa' tibda, u l-falliment jibqa' indistinguwibbli minn port magħluq. Il-klijenti wara NAT huma eħfef: b'indirizz pubbliku fuq is-server, in-NAT-T fuq l-UDP 4500 iġorrhom u dak il-valur mhuwiex involut.
Ladarba l-PPP ikun 'il fuq, MTU b'toqba sewda timita mina mejta: pakketti żgħar jgħaddu, handshake TLS jew tagħbija ta' paġna jiġġammjaw, u l-klijent jista' jibqa' juri konness. Baxxi l-MTU tal-interface jew issikka l-MSS fil-gateway qabel ma tagħti tort lis-server. Ir-routing tal-mina maqsuma huwa l-impostur l-ieħor; subnet mibgħut bil-maskra żbaljata jħalli l-mina f'saħħitha u applikazzjoni waħda ma tintlaħaqx. Isem tal-host privat iżid il-pass tiegħu: jekk il-mistoqsija toħroġ mis-solver lokali, l-isem ifalli jiġi riżolt qabel ma tiġi ttestjata xi rotta.
Lista ta' verifika qabel ma tmiss kredenzjali
Aħdem il-lista bl-ordni u waqaf fl-ewwel element li jfalli. Kull pass huwa rħis, u kull wieħed jeskludi klassi sħiħa ta' editjar.
- Ikkonferma li l-assoċjazzjoni teżisti fiż-żewġ trufijiet, imqabbla bl-identità tal-pari u mhux b'tikketta konness.
- Ikkonferma li l-UDP 1701 jasal għand xl2tpd; assoċjazzjoni mingħajr sejħa hija l-falliment tiegħek.
- Aqra l-verdett tal-PPP u, jekk awtentika, ir-riżultat tal-IPCP, qabel ma tassumi li l-password hija żbaljata.
- Issa biss erġa' ddaħħal il-kredenzjali fil-format li jistenna s-server, għax prefiss tad-dominju jbiddel il-kont.
- Jekk xorta jfalli, aqbad iż-żewġ trufijiet b'marki tal-ħin allinjati u qabbel stadju b'stadju.
Il-waqfa fit-tieni pass tfisser problema tal-passaġġ jew tal-inkapsulament, u l-ebda editjar tal-password ma jċaqalqha. Il-waqfa fit-tielet pass tfisser li l-log diġà jsemmi l-metodu jew il-ġabra tal-indirizzi li għandha tiġi msewwija. B'xi mod, il-bidla li jmiss hija waħda li tista' tiġġustifikaha, u tieqaf iddur fi settings li qatt ma kienu involuti.