Wspólny sekret czy logowanie użytkownika: które pole L2TP/IPsec zawiodło?
Klucz wstępnie współdzielony dowodzi partnera, a nazwa użytkownika i hasło PPP dowodzą osoby. Kod błędu mówi, która z dwóch warstw zawiodła.
Jedno biuro może dać ten sam sekret IPsec każdemu laptopowi, podczas gdy każda osoba loguje się na własne konto, i dlatego „klucz jest prawidłowy” i „hasło jest prawidłowe” mogą być jednocześnie prawdziwe, a logowanie i tak się nie udaje. L2TP i IPsec uwierzytelniają różne strony na różnych etapach. Porównanie obu warstw i kod błędu, który je rozdziela, zamykają większość takich zgłoszeń szybciej niż kolejna wymiana obu wartości. Etapy nie są wymienne, a komunikat przed tobą już mówi, który jest w grze.
Dwie warstwy, dwie różne tożsamości
Najpierw działa uwierzytelnianie partnera IPsec. Klient i brama dowodzą sobie nawzajem, kim są, kluczem wstępnie współdzielonym lub certyfikatem, zanim jakikolwiek ładunek tunelu zostanie ochroniony. Wymiana PPP wewnątrz sesji L2TP następuje potem i tam właśnie nazwa użytkownika i hasło są sprawdzane wobec magazynu kont serwera.
Etapy są niezależne, więc prawidłowe konto użytkownika nie uratuje błędnego klucza IPsec, a prawidłowy klucz nie uratuje wygasłego hasła. Zapisz oba osobno w zgłoszeniu, a diagnoza zwykle wypada z pierwszego wiersza logu, który nazywa etap.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Wspólny sekret dowodzi partnera
Klucz wstępnie współdzielony to poświadczenie grupowe, które mają brama i każdy klient, który się z nią łączy. Ustala, że partner zna klucz, i z niego IKE wyprowadza klucze chroniące połączenie. Nic w tej wymianie nie identyfikuje człowieka przy klawiaturze. Właśnie dlatego w tym samym tunelu istnieje drugie logowanie na poziomie użytkownika.
Ten projekt ma praktyczną konsekwencję dla odwołania. Utrata jednego laptopa oznacza rotację sekretu dla każdego urządzenia, które go używa, chyba że wdrożenie przejdzie na certyfikaty, gdzie jedno urządzenie można usunąć bez ruszania pozostałych. Handlem jest wysiłek administracyjny wobec zasięgu szkód.
Klucz wpisany w profil to także najłatwiej wyciekające poświadczenie przez zrzuty ekranu i czat. Traktuj go jako wspólny materiał infrastrukturalny, a nie osobiste hasło, bo dokładnie tym jest.
Logowanie należy do PPP
Wewnątrz sesji L2TP PPP negocjuje uwierzytelnianie i prosi serwer o weryfikację pary wartości, które wpisałeś. W systemie Windows to ta sama nazwa użytkownika i hasło, których żąda profil, a na routerze to, na co wskazuje profil PPP. Sprawdzane jest wobec magazynu kont, nie wobec klucza. Dwie osoby mogą dzielić laptopa i klucz, a mimo to zostaną rozróżnione na tym etapie.
Ponieważ to uwierzytelnianie użytkownika, obowiązują wszystkie zwykłe zasady konta: wygasłe hasło, zablokowane konto, uprawnienie do połączeń przychodzących lub nazwa, która musi zawierać domenę. Błąd 691 zgłasza tę kombinację jako odrzuconą, więc przeczytaj zapis księgowy serwera, zanim cokolwiek wpiszesz ponownie.
Pozwól błędowi wybrać pole
Błąd 789 nazywa warstwę bezpieczeństwa i wskazuje etap IPsec. Potwierdź, że klucz wstępnie współdzielony po obu stronach zgadza się dokładnie, że tożsamość partnera oczekiwana przez bramę odpowiada temu, co wysyła klient, i że klient jest skonfigurowany dla L2TP/IPsec, a nie innego typu.
Błąd 691 nazywa poświadczenia i wskazuje PPP. Sprawdź stan konta i dokładny format nazwy, zanim zmienisz sekret, bo zmiana obu naraz niszczy dowód, który czytałeś.
Gdy tunel wstaje, a ruch nadal się zatrzymuje, całkowicie przestań edytować pola uwierzytelniania. Spójrz na pulę adresów, trasę powrotną do podsieci klienta i MTU: porównanie obu warstw pomaga tylko dopóki awaria jest jeszcze w nich.