IKEv2-uitwisseling werkt, daarna mislukt de authenticatie: waar je moet zoeken

Een client die een IKEv2-antwoord ontvangt, heeft bewezen dat de gateway bereikbaar is, dat beide partijen over een voorstel kunnen onderhandelen en dat de eerste sleuteluitwisseling is voltooid. Hij heeft niet bewezen dat iemand is geauthenticeerd. De volgende uitwisseling draagt identiteiten, certificaten of EAP, en daar stopt de verbinding meestal. Lezen welke van die controles faalde, is de hele diagnose, en de foutmelding alleen zegt het zelden.

Controle 1: lees de fase, niet de melding

Een afwijzing kan van drie plaatsen komen: de client die de identiteit van de server weigert, de gateway die het bewijs van de client weigert en een externe authenticatiedienst die het account weigert.

Elk levert een andere logregel op een andere machine op, en elk heeft een andere oplossing. Een afwijzing van het servercertificaat aan de clientzijde is een vertrouwens- of naamgevingsprobleem op de client; een afwijzing van het clientcertificaat aan de gatewayzijde is een vertrouwensprobleem op de gateway; een EAP-fout is een account- of backendprobleem. De melding die je ziet is meestal de samenvatting van de client van een van die gevallen, en daarom is de gatewaylog even belangrijk als die van de client.

Controle 2: welke identiteit werd gecontroleerd

Een client kan het servercertificaat of de verwachte identiteit weigeren voordat er ooit een gebruikersreferentie wordt aangeboden, en een werkend serveradres is geen vervanging voor die controle. De identificatie die de client verwacht moet overeenkomen met wat de gateway presenteert, wat een configuratiegegeven is en geen netwerkgegeven.

In strongSwan-termen is dat rightid op de client en de eigen identiteit van de gateway aan de andere kant, en een mismatch mislukt nog voordat EAP ter sprake komt.

De gateway kan apart het clientcertificaat, het sleutelbewijs of de accountauthenticatie weigeren, en die drie zijn niet uitwisselbaar. Het wachtwoord van een gebruiker resetten verlengt geen apparaatcertificaat, en een apparaatcertificaat opnieuw installeren lost een verkeerde serveridentiteit niet op. Controleer bij certificaatfouten eerst de klok, dan de vertrouwensketen en dan de verwachte identificatie; een client waarvan de klok enkele minuten afwijkt, faalt voor een geldigheidscontrole die op een vertrouwensfout lijkt. swanctl --list-certs aan beide uiteinden toont wat elke partij werkelijk heeft.

Controle 3: als EAP in het spel is

De client en de server moeten het eens worden over een ondersteunde methode, en de backend moet de opgegeven identiteit accepteren.

Een gebruikersnaam heeft mogelijk een domeinsuffix of een specifiek accountformaat nodig dat de uitrol vereist, en het formaat is gedocumenteerd en niet te raden. De gedocumenteerde velden van de operator opgeven is sneller dan varianten proberen, en het voorkomt een tweede probleem: herhaalde pogingen kunnen een accountvergrendeling veroorzaken, die vervolgens de oorspronkelijke fase achter een nieuwe fout verbergt. Als de methode EAP-MSCHAPv2 tegen een directory is, kan de fout bij de directory horen en niet bij de VPN.

Test identiteitsproblemen niet door identiteitscontroles uit te schakelen. Dat verandert een diagnoseerbare fout in een niet-diagnoseerbare en laat de verbinding zwakker achter dan voorheen.

Controle 4: wat er gebeurt na een geslaagde login

Zodra IKE_AUTH is voltooid, bepaalt de CHILD_SA-onderhandeling welke verkeersselectoren worden geïnstalleerd, en daar kan een verbinding slagen en toch niets doorlaten.

Een nieuw werkende login onthult vaak een selector- of routeprobleem dat eerder achter de authenticatiefout verborgen zat. Als de tunnel omhoog komt en een toepassing bereikt haar bestemming nog steeds niet, kijk dan naar de onderhandelde selectoren en de routes in plaats van weer naar de identiteit. Identiteitsinstellingen op dat moment wijzigen richt zich op de verkeerde fase en breekt meestal een werkende login. Bevestig met swanctl --list-sas, dat de kinderen en hun selectoren apart van de IKE SA toont.

Controle 5: wat je aan support geeft

Een opgeschoonde tijdlijn en de precieze afwijzing zijn meer waard dan een volledige diagnostische export, en de export kan privésleutels of inloggegevens bevatten die je niet zou moeten delen.

Noteer de tijd met de tijdzone, de versies van client en gateway, de methode, de aangeboden identiteitsreeks in plaats van het wachtwoord, en de exacte fase die hem afwees. De strongSwan IKEv2-configuratiedocumentatie beschrijft de identiteits- en EAP-instellingen die deze uitkomsten bepalen, en dat is de referentie die je moet lezen voordat je een veld wijzigt. Wijzig daarna één ding en test een nieuwe verbinding opnieuw, want een gebufferde sessie vertelt je over de oude configuratie.