Segredo compartilhado ou login de usuário: qual campo de L2TP/IPsec falhou?
Uma chave pré-compartilhada prova o par, enquanto o nome de usuário e a senha do PPP provam a pessoa. O código de erro diz qual das duas camadas quebrou.
Um escritório pode distribuir o mesmo segredo IPsec para todos os notebooks enquanto cada pessoa entra com uma conta individual, e é por isso que «a chave está correta» e «a senha está correta» podem ser ambas verdadeiras e o login ainda falhar. L2TP e IPsec autenticam partes diferentes em estágios diferentes. A comparação das duas camadas, e o código de erro que as separa, encerram a maioria desses tickets mais rápido do que trocar os dois valores novamente. Os estágios não são intercambiáveis, e a mensagem à sua frente já diz qual está em jogo.
Duas camadas, duas identidades diferentes
Primeiro roda a autenticação do par do IPsec. O cliente e o gateway provam um ao outro quem são, com uma chave pré-compartilhada ou um certificado, antes de qualquer carga do túnel ser protegida. A troca PPP dentro da sessão L2TP vem depois, e é aí que seu nome de usuário e senha são verificados contra o armazenamento de contas do servidor.
Os estágios são independentes, então uma conta de usuário válida não pode salvar uma chave IPsec incorreta, e uma chave correta não pode salvar uma senha expirada. Escreva os dois separadamente no ticket e o diagnóstico costuma sair da primeira linha de log que nomeia um estágio.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
O segredo compartilhado prova o par
Uma chave pré-compartilhada é uma credencial de grupo mantida pelo gateway e por cada cliente que se conecta a ele. Ela estabelece que o par conhece a chave, e dela o IKE deriva as chaves que protegem a conexão. Nada nessa troca identifica a pessoa no teclado. É exatamente por isso que existe um segundo login, no nível do usuário, dentro do mesmo túnel.
Esse desenho tem uma consequência prática para a revogação. Perder um notebook significa rotacionar o segredo para cada dispositivo que o usa, a menos que a implantação passe a certificados, onde um único dispositivo pode ser removido sem tocar nos demais. A troca é esforço administrativo contra o alcance do dano.
Uma chave digitada em um perfil é também a credencial mais fácil de vazar por capturas de tela e chat. Trate-a como material de infraestrutura compartilhada e não como uma senha pessoal, porque é exatamente isso.
O login pertence ao PPP
Dentro da sessão L2TP, o PPP negocia a autenticação e pede ao servidor que verifique o par de valores que você digitou. No Windows são o mesmo nome de usuário e senha que o perfil pede, e em um roteador é o que o perfil PPP referencia. A verificação é contra o armazenamento de contas, não contra a chave. Duas pessoas podem compartilhar um notebook e uma chave e ainda assim serem distinguidas neste estágio.
Como é autenticação de usuário, aplicam-se todas as políticas de conta usuais: senha expirada, conta bloqueada, permissão de discagem ou um nome que precise carregar domínio. O erro 691 informa essa combinação como rejeitada, então leia o registro contábil do servidor antes de digitar qualquer coisa de novo.
Deixe o erro escolher o campo
O erro 789 nomeia a camada de segurança e aponta para o estágio IPsec. Confirme que a chave pré-compartilhada dos dois lados coincide exatamente, que a identidade do par esperada pelo gateway corresponde ao que o cliente envia, e que o cliente está configurado para L2TP/IPsec e não para outro tipo.
O erro 691 nomeia credenciais e aponta para o PPP. Verifique o estado da conta e o formato exato do nome antes de mudar o segredo, porque mudar os dois ao mesmo tempo destrói a evidência que você estava lendo.
Quando o túnel sobe e o tráfego ainda para, pare completamente de editar os campos de autenticação. Olhe o pool de endereços, a rota de volta para a sub-rede do cliente e a MTU: a comparação das duas camadas só ajuda enquanto a falha ainda está dentro delas.