एउटै त्रुटि, तीन गोप्य: कुन VPN प्रमाण असफल भयो?
क्लाइन्टले हरेक चरणका लागि एउटै त्रुटि देखाउँछ। कसैले नहेकेको पासवर्ड रिसेट गर्नुअघि एसोसिएसन, प्रयोगकर्ता आदानप्रदान र विधि पढ्नुहोस्।
“प्रमाणीकरण असफल भयो” ले सर्भर प्रमाणपत्र, मेसिनको पूर्व-साझा कुञ्जी वा प्रयोगकर्ताको पासवर्डतर्फ संकेत गर्न सक्छ। यसले कुन भन्ने कुरा प्रोटोकलमा निर्भर हुन्छ, किनकि प्रत्येक प्रोटोकलले फरक गोप्यको समूह परिभाषित गर्छ। गलत एउटा रिसेट गर्नुभयो भने त्रुटि जस्ताको तस्तै रहन्छ। निकास भनेको केही सम्पादन गर्नुअघि प्रोटोकलले कति प्रमाण चाहन्छ भन्ने स्थापित गर्नु हो।
विपरीत दिशातर्फ संकेत गर्ने दुई प्रमाण
एउटा सुरुङले सही गेटवेसम्म पुग्यो कि पुगेन र छुट्टै रूपमा प्रयोगकर्ता को हो भन्ने प्रश्नको उत्तर दिनुपर्छ। गेटवे प्रमाण मेसिन-स्तरको हुन्छ: सर्भर प्रमाणपत्र, पूर्व-साझा कुञ्जी वा स्थिर सार्वजनिक कुञ्जी। प्रयोगकर्ता प्रमाण व्यक्ति-स्तरको हुन्छ: पासवर्ड, टोकन, क्लाइन्ट प्रमाणपत्र, वा केही पनि होइन। ती विश्वासका विपरीत दिशा हुन् र फरक सामग्री खपत गर्छन्।
IKEv2 ले गेटवे प्रमाण IKE_AUTH भित्र पूरा गर्छ र EAP प्रयोग हुँदा प्रयोगकर्ता प्रमाण पछि छुट्टै आदानप्रदानमा चलाउँछ। IKEv2 विशिष्टता ले ती छुट्टाछुट्टै खण्डका रूपमा राख्छ, जुन एउटै सन्देशले दुवै चरण ढाक्दा कहाँ हेर्ने भन्नेबारे बलियो संकेत हो।
चरण पढ्नुहोस्, सन्देश होइन
कुन चरण असफल भयो भन्ने नभई क्लाइन्टले एउटै त्रुटि स्ट्रिङ देखाउँछ, त्यसैले स्ट्रिङमा लगभग कुनै जानकारी हुँदैन। जानकारी दिने कुरा प्रत्येक चरणमा निरीक्षण गर्न सकिने अवस्था हो: एसोसिएसन छ कि छैन, प्रयोगकर्ता आदानप्रदान सुरु भयो कि भएन, र क्लाइन्टले गेटवेले चाहेको विधि प्रस्ताव गर्यो कि गरेन। तालिकाले चरणहरूलाई प्रोटोकल नामअनुसार होइन, त्यसरी क्रमबद्ध गर्छ।
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
दोस्रो पङ्क्ति मात्र प्रयोगकर्ताले पुनः टाइप गर्न सक्ने प्रमाणसँग सम्बन्धित छ। अन्य तीन कन्फिगरेसन तथ्य हुन्, र त्यही बेमेलका कारण यी धेरै रिपोर्टहरू केही पनि नबदल्ने पासवर्ड रिसेटमा टुङ्गिन्छन्। कुनै फाँट छुनुअघि तपाईंको प्रमाणसँग मिल्ने पङ्क्ति पढ्नुहोस्।
दुई गोप्य भएको प्रोटोकलले आफ्नो पत्तो दिन्छ
L2TP over IPsec ले गणना देखिने बनाउँछ, किनकि दुई जाँच फरक प्रक्रियामा हुन्छन्। IPsec तह पहिले पूर्व-साझा कुञ्जी वा प्रमाणपत्रसँग उठ्नुपर्छ, र त्यसपछि मात्र भित्रको PPP ले प्रयोगकर्ता लगइन प्रयास गर्छ।
मेसिनको गोप्य गलत हुँदा कुनै एसोसिएसन बन्दैन र प्रयोगकर्ता प्रमाण कहिल्यै प्रयास गरिँदैन। मेसिनको गोप्य सही र प्रयोगकर्ताको गोप्य गलत हुँदा एसोसिएसन रहन्छ र सुरुङ पहिले नै उठिसकेपछि PPP ले लगइन अस्वीकार गर्छ। दुवैले दुई फरक घटनाबाट स्क्रिनमा एउटै सन्देश दिन्छन्।
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerखाली एसोसिएसन सूचीले प्रयोगकर्ता तह तुरुन्तै हटाउँछ, त्यसैले पासवर्डअघि त्यो जाँच्नुहोस्। दोहोरिएका PPP असफलतासँगै स्थापित एसोसिएसनले अर्को दिशातर्फ, अर्थात् प्रयोगकर्ता तह वा भित्रको प्रमाणीकरण प्रोटोकलतर्फ संकेत गर्छ। कुनै पनि निष्कर्ष क्लाइन्टको त्रुटि पाठबाट उपलब्ध हुँदैन।
पासवर्ड-मात्र वास्तवमै केमा निर्भर छ
L2TP, PPTP, SSTP र EAP सहितको IKEv2 का लागि पासवर्ड-मात्र पहुँच सामान्य हो। WireGuard मा यस्तो विकल्प नै छैन, किनकि यसका पियरहरू प्रयोगकर्ता होइनन्, कुञ्जी हुन्। OpenVPN का लागि उत्तर सर्भरको क्लाइन्ट-प्रमाणपत्र आवश्यकताबाट आउँछ: प्रमाणपत्र र पासवर्ड दुवै माग्ने गेटवेले फाँटमा जे लेखिए पनि पासवर्ड-मात्र क्लाइन्टलाई अस्वीकार गरिरहनेछ।
तपाईंलाई कुन कम्पोनेन्ट चाहिन्छ भन्ने त्यही उत्तरबाट आउँछ। IKEv2 अन्तर्गत पासवर्ड लगइनका लागि EAP बोल्ने क्लाइन्ट चाहिन्छ, जबकि प्रमाणपत्र लगइनका लागि क्लाइन्टको निजी कुञ्जी र सर्भरको चेन चाहिन्छ। गलत कुरा स्थापना गर्नुभयो भने प्रमाणीकरण विधि नै हराएको भए पनि असफलता प्रमाण त्रुटिझैँ पढिन्छ।
एउटा कुरा बदल्नुहोस्, त्यसपछि पुनः परीक्षण
पहिले तीन तथ्य स्थापित गर्नुहोस्: कुन प्रोटोकल चलिरहेको छ, यसले कति गोप्य परिभाषित गर्छ, र तीमध्ये कुन प्रयोगकर्ताको होइन, मेसिनको हो। मेसिन पहिलो चरणमा असफल हुन्छन् र मानिस दोस्रोमा, र ती दुईलाई मिसाउनु नै यो समस्याको पूरै कारण हो।
त्यसपछि ठ्याक्कै एउटा कुरा बदलेर उही क्लाइन्टबाट पुनः परीक्षण गर्नुहोस्। त्यो अनुशासनले भ्रमित पार्ने असफलतालाई अर्को व्यक्तिलाई भन्न सकिने समाधानमा बदल्छ, जुन कसैले व्याख्या गर्न नसक्ने चल्ने जडानभन्दा बढी उपयोगी हुन्छ।