Delt løyndom eller brukarpålogging: kva L2TP/IPsec-felt feila?
Ein førehandsdelt nøkkel provar motparten, medan PPP-brukarnamnet og -passordet provar personen. Feilkoden fortel kva av dei to laga som braut saman.
Eitt kontor kan gje same IPsec-løyndomen til kvar laptop medan kvar person likevel loggar på med ein individuell konto, og difor kan «nøkkelen er rett» og «passordet er rett» begge vere sanne og pålogginga likevel mislukkast. L2TP og IPsec autentiserer ulike partar i ulike fasar. Ei samanlikning av dei to laga, og feilkoden som skil dei, lukkar dei fleste av desse sakene raskare enn å byte båe verdiane på nytt. Fasane er ikkje utskiftbare, og meldinga framfor deg seier allereie kven som er i spel.
To lag, to ulike identitetar
Fyrst går IPsec-motpartsautentiseringa. Klienten og gatewayen provar overfor kvarandre kven dei er, med ein førehandsdelt nøkkel eller eit sertifikat, før noka tunnellast vert verna. PPP-utvekslinga inne i L2TP-økta kjem etterpå, og det er der brukarnamnet og passordet ditt vert kontrollerte mot kontolageret til tenaren.
Fasane er uavhengige, så ein gyldig brukarkonto kan ikkje redde ein feil IPsec-nøkkel, og ein rett nøkkel kan ikkje redde eit utgått passord. Skriv dei to åtskilde i saka, og diagnosen fell som regel ut av den fyrste logglinja som nemner ein fase.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Den delte løyndomen provar motparten
Ein førehandsdelt nøkkel er ein gruppelegitimasjon som gatewayen og kvar klient som koplar til han har. Han slår fast at motparten kjenner nøkkelen, og frå han leier IKE ut nøklane som vernar sambandet. Ingenting i den utvekslinga identifiserer mennesket ved tastaturet. Det er heile grunnen til at ei anna pålogging på brukarnivå finst i same tunnelen.
Det designet har ein praktisk konsekvens for tilbakekalling. Å miste éin laptop tyder å rotere løyndomen for kvar eining som brukar han, med mindre utrullinga går over til sertifikat, der éi eining kan fjernast utan å røre resten. Handelen er administrativt arbeid mot omfanget av skaden.
Ein nøkkel som vert skriven inn i ein profil er òg den enklaste legitamasjonen å lekke via skjermbilete og chat. Handsame han som delt infrastrukturmateriale og ikkje som eit personleg passord, for det er nøyaktig kva han er.
Pålogginga høyrer til PPP
Inne i L2TP-økta forhandlar PPP autentisering og ber tenaren stadfeste paret med verdiar du skreiv inn. På Windows er det same brukarnamn og passord som profilen spør om, og på ein ruter er det det PPP-profilen viser til. Det vert kontrollert mot kontolageret, ikkje mot nøkkelen. To personar kan dele ein laptop og ein nøkkel og likevel verte skilde i denne fasen.
Sidan det er brukarautentisering, gjeld alle dei vanlege kontoprinsippa: utgått passord, låst konto, oppringingstillating eller eit namn som må bere eit domene. Feil 691 rapporterer den kombinasjonen som avvist, så les rekneskapsrekorden til tenaren før du skriv noko på nytt.
Lat feilen velje feltet
Feil 789 nemner tryggingslaget og peikar på IPsec-fasen. Stadfest at den førehandsdelte nøkkelen på båe sider stemmer nøyaktig, at motpartsidentiteten gatewayen ventar samsvarer med det klienten sender, og at klienten er konfigurert for L2TP/IPsec og ikkje ein annan type.
Feil 691 nemner legitimasjon og peikar på PPP. Kontroller kontostatusen og det nøyaktige namnformatet før du endrar løyndomen, for å endre båe samtidig øydelegg prova du las.
Når tunnelen kjem opp og trafikken likevel stoppar, slutt heilt å redigere autentiseringsfelt. Sjå på adressepoolen, ruta tilbake til klientens subnett og MTU: ei samanlikning av dei to laga hjelper berre så lenge feilen framleis er inne i dei.