Delt hemmelighet eller brukerpålogging: hvilket L2TP/IPsec-felt feilet?
En forhåndsdelt nøkkel beviser motparten, mens PPP-brukernavnet og -passordet beviser personen. Feilkoden forteller hvilket av de to lagene som brøt sammen.
Ett kontor kan gi samme IPsec-hemmelighet til hver laptop mens hver person likevel logger på med en individuell konto, og derfor kan «nøkkelen er riktig» og «passordet er riktig» begge være sanne og påloggingen likevel mislykkes. L2TP og IPsec autentiserer ulike parter i ulike faser. En sammenligning av de to lagene, og feilkoden som skiller dem, lukker de fleste av disse sakene raskere enn å bytte begge verdiene på nytt. Fasene er ikke utskiftbare, og meldingen foran deg sier allerede hvilken som er i spill.
To lag, to forskjellige identiteter
IPsec-motpartsautentisering kjører først. Klienten og gatewayen beviser overfor hverandre hvem de er, med en forhåndsdelt nøkkel eller et sertifikat, før noen tunnellast beskyttes. PPP-utvekslingen inne i L2TP-økten kommer etterpå, og det er der brukernavnet og passordet ditt kontrolleres mot serverens kontolager.
Fasene er uavhengige, så en gyldig brukerkonto kan ikke redde en feil IPsec-nøkkel, og en riktig nøkkel kan ikke redde et utløpt passord. Skriv de to atskilt i saken, og diagnosen faller som regel ut av den første logglinjen som nevner en fase.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Den delte hemmeligheten beviser motparten
En forhåndsdelt nøkkel er en gruppelegitimasjon som gatewayen og hver klient som kobler til den har. Den fastslår at motparten kjenner nøkkelen, og fra den utleder IKE nøklene som beskytter forbindelsen. Ingenting i den utvekslingen identifiserer mennesket ved tastaturet. Det er hele grunnen til at en annen pålogging på brukernivå finnes i samme tunnel.
Det designet har en praktisk konsekvens for tilbakekalling. Å miste én laptop betyr å rotere hemmeligheten for hver enhet som bruker den, med mindre utrullingen går over til sertifikater, der én enhet kan fjernes uten å røre resten. Handelen er administrativt arbeid mot skadens omfang.
En nøkkel som tastes inn i en profil er også den letteste legitamasjonen å lekke via skjermbilder og chat. Behandle den som delt infrastrukturmateriale og ikke som et personlig passord, for det er nøyaktig hva den er.
Påloggingen tilhører PPP
Inne i L2TP-økten forhandler PPP autentisering og ber serveren verifisere paret med verdier du tastet. På Windows er det samme brukernavn og passord som profilen spør om, og på en ruter er det det PPP-profilen refererer til. Det kontrolleres mot kontolageret, ikke mot nøkkelen. To personer kan dele en laptop og en nøkkel og likevel skilles i denne fasen.
Siden det er brukerautentisering, gjelder alle de vanlige kontoprinsippene: utløpt passord, låst konto, oppringingstillatelse eller et navn som må bære et domene. Feil 691 rapporterer den kombinasjonen som avvist, så les serverens regnskapsrecord før du taster noe på nytt.
La feilen velge feltet
Feil 789 nevner sikkerhetslaget og peker på IPsec-fasen. Bekreft at den forhåndsdelte nøkkelen på begge sider stemmer nøyaktig, at motpartsidentiteten gatewayen forventer samsvarer med det klienten sender, og at klienten er konfigurert for L2TP/IPsec og ikke en annen type.
Feil 691 nevner legitimasjon og peker på PPP. Kontroller kontostatusen og det nøyaktige navnformatet før du endrer hemmeligheten, for å endre begge samtidig ødelegger beviset du leste.
Når tunnelen kommer opp og trafikken likevel stopper, slutt helt å redigere autentiseringsfelt. Se på adressepoolen, ruten tilbake til klientens subnett og MTU: en sammenligning av de to lagene hjelper bare så lenge feilen fortsatt er inne i dem.