O eroare, trei secrete: care acreditare VPN a eșuat?
Clientul arată o singură eroare pentru fiecare etapă. Citiți asocierea, schimbul utilizatorului și metoda înainte de a reseta o parolă pe care nimeni nu a verificat-o.
„Autentificarea a eșuat” poate indica un certificat de server, o cheie prepartajată a mașinii sau o parolă de utilizator. Care dintre ele depinde de protocol, pentru că fiecare protocol definește un alt set de secrete. Resetați-o pe cea greșită și eroarea rămâne neschimbată. Ieșirea este să stabiliți câte dovezi cere protocolul înainte de a modifica ceva.
Două dovezi care arată în direcții opuse
Un tunel trebuie să răspundă dacă a ajuns la gateway-ul corect și, separat, cine este utilizatorul. Dovada gateway-ului este la nivel de mașină: un certificat de server, o cheie prepartajată sau o cheie publică statică. Dovada utilizatorului este la nivel de persoană: o parolă, un token, un certificat de client sau nimic. Sunt direcții opuse de încredere și consumă material diferit.
IKEv2 efectuează dovada gateway-ului în interiorul IKE_AUTH și, când se folosește EAP, rulează dovada utilizatorului într-un schimb separat după aceea. specificația IKEv2 le ține ca secțiuni distincte, ceea ce este un indiciu puternic despre unde să căutați când un mesaj acoperă ambele runde.
Citiți etapa, nu mesajul
Clientul arată același șir de eroare indiferent de etapa care a eșuat, așa că șirul în sine nu conține aproape nicio informație. Ceea ce conține informație este starea pe care o puteți inspecta la fiecare etapă: dacă există o asociere, dacă a început un schimb de utilizator și dacă clientul a oferit metoda dorită de gateway. Tabelul sortează etapele astfel, nu după numele protocolului.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Doar al doilea rând se referă la o acreditare pe care utilizatorul o poate retasta. Celelalte trei sunt fapte de configurare, iar această nepotrivire este motivul pentru care multe dintre aceste rapoarte se termină cu o resetare de parolă care nu schimbă nimic. Citiți rândul care corespunde dovezilor dumneavoastră înainte de a atinge un câmp.
Un protocol cu două secrete își arată cărțile
L2TP peste IPsec face numărul vizibil, pentru că cele două verificări au loc în procese diferite. Stratul IPsec trebuie să pornească mai întâi cu o cheie prepartajată sau un certificat, și abia apoi PPP din interior încearcă o autentificare de utilizator.
Când secretul mașinii este greșit, nu se formează nicio asociere și acreditarea utilizatorului nu este încercată niciodată. Când secretul mașinii este corect și cel al utilizatorului este greșit, asocierea există, iar PPP respinge autentificarea după ce tunelul este deja pornit. Ambele produc același mesaj pe ecran din două evenimente diferite.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerO listă goală de asocieri elimină imediat stratul de utilizator, așa că verificați-o înainte de parolă. O asociere stabilită cu eșecuri PPP repetate indică în cealaltă direcție, spre stratul de utilizator sau spre protocolul de autentificare din interiorul lui. Niciuna dintre concluzii nu este disponibilă din textul erorii clientului.
De ce depinde de fapt accesul doar cu parolă
Accesul doar cu parolă este obișnuit pentru L2TP, PPTP, SSTP și IKEv2 cu EAP. WireGuard nu are deloc o astfel de opțiune, pentru că peerii săi sunt chei, nu utilizatori. Pentru OpenVPN răspunsul vine din cerința de certificat de client a serverului: un gateway care cere atât certificat, cât și parolă va continua să respingă un client doar cu parolă, orice s-ar tasta în câmp.
Ce componentă aveți nevoie decurge din același răspuns. O autentificare cu parolă sub IKEv2 cere un client care vorbește EAP, în timp ce o autentificare cu certificat are nevoie de cheia privată a clientului și de lanțul serverului. Instalați-o pe cea greșită și eșecul se citește ca o eroare de acreditare, deși metoda de autentificare în sine este ce lipsește.
Schimbați un singur lucru, apoi retestați
Stabiliți mai întâi trei fapte: ce protocol rulează, câte secrete definește și care dintre ele aparțin mașinii și nu utilizatorului. Mașinile eșuează la prima etapă, iar oamenii la a doua, iar confundarea celor două este toată această problemă.
Apoi schimbați exact un lucru și retestați din același client. Această disciplină transformă un eșec confuz într-o corecție pe care o puteți descrie următoarei persoane, ceea ce este mai util decât o conexiune funcțională pe care nimeni nu o poate explica.