Secret partajat sau autentificare de utilizator: care câmp L2TP/IPsec a eșuat?
O cheie pre-partajată dovedește partenerul, iar numele de utilizator și parola PPP dovedesc persoana. Codul de eroare spune care dintre cele două straturi s-a rupt.
Un birou poate distribui același secret IPsec fiecărui laptop în timp ce fiecare persoană se autentifică totuși cu un cont individual, și de aceea «cheia este corectă» și «parola este corectă» pot fi amândouă adevărate, iar autentificarea tot eșuează. L2TP și IPsec autentifică părți diferite în etape diferite. Comparația celor două straturi, și codul de eroare care le separă, închid majoritatea acestor tichete mai repede decât o nouă schimbare a ambelor valori. Etapele nu sunt interschimbabile, iar mesajul din fața dumneavoastră spune deja care este în joc.
Două straturi, două identități diferite
Mai întâi rulează autentificarea partenerului IPsec. Clientul și gateway-ul își dovedesc reciproc cine sunt, cu o cheie pre-partajată sau un certificat, înainte ca vreo încărcătură a tunelului să fie protejată. Schimbul PPP din interiorul sesiunii L2TP vine după aceea, și acolo sunt verificate numele de utilizator și parola împotriva depozitului de conturi al serverului.
Etapele sunt independente, așa că un cont de utilizator valid nu poate salva o cheie IPsec greșită, iar o cheie corectă nu poate salva o parolă expirată. Scrieți-le pe cele două separat în tichet și diagnosticul cade de obicei din prima linie de log care numește o etapă.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Secretul partajat dovedește partenerul
O cheie pre-partajată este o acreditare de grup pe care o au gateway-ul și fiecare client care se conectează la el. Ea stabilește că partenerul cunoaște cheia, iar din ea IKE derivă cheile care protejează conexiunea. Nimic din acel schimb nu identifică persoana de la tastatură. Exact de aceea există o a doua autentificare, la nivel de utilizator, în același tunel.
Acel design are o consecință practică pentru revocare. Pierderea unui laptop înseamnă rotirea secretului pentru fiecare dispozitiv care îl folosește, cu excepția cazului în care implementarea trece la certificate, unde un singur dispozitiv poate fi eliminat fără a le atinge pe celelalte. Schimbul este efort administrativ față de amploarea prejudiciului.
O cheie tastată într-un profil este și acreditarea cea mai ușor de scurs prin capturi de ecran și chat. Tratați-o ca material de infrastructură partajat și nu ca o parolă personală, pentru că exact asta este.
Autentificarea aparține PPP
În interiorul sesiunii L2TP, PPP negociază autentificarea și cere serverului să verifice perechea de valori pe care ați tastat-o. În Windows sunt același nume de utilizator și aceeași parolă pe care le cere profilul, iar pe un router este ceea ce profilează profilul PPP. Verificarea se face împotriva depozitului de conturi, nu împotriva cheii. Două persoane pot împărți un laptop și o cheie și totuși sunt distinse în această etapă.
Deoarece este autentificare de utilizator, se aplică toate politicile obișnuite de cont: parolă expirată, cont blocat, permisiune de apelare sau un nume care trebuie să poarte un domeniu. Eroarea 691 raportează această combinație ca respinsă, așa că citiți înregistrarea contabilă a serverului înainte de a retasta orice.
Lăsați eroarea să aleagă câmpul
Eroarea 789 numește stratul de securitate și indică etapa IPsec. Confirmați că cheia pre-partajată de pe ambele părți corespunde exact, că identitatea partenerului așteptată de gateway corespunde cu ce trimite clientul, și că clientul este configurat pentru L2TP/IPsec și nu pentru alt tip.
Eroarea 691 numește acreditările și indică PPP. Verificați starea contului și formatul exact al numelui înainte de a schimba secretul, pentru că schimbarea ambelor deodată distruge dovada pe care o citeați.
Când tunelul urcă și traficul tot se oprește, opriți complet editarea câmpurilor de autentificare. Uitați-vă la pool-ul de adrese, la ruta înapoi spre subrețeaua clientului și la MTU: comparația celor două straturi ajută doar cât timp defecțiunea este încă în interiorul lor.