Общий секрет или вход пользователя: какое поле L2TP/IPsec не сработало?
Предварительно общий ключ доказывает партнёра, а имя пользователя и пароль PPP — человека. Код ошибки говорит, какой из двух уровней сломался.
Один офис может выдать один и тот же секрет IPsec каждому ноутбуку, хотя каждый человек всё равно входит под своей учётной записью, и именно поэтому «ключ верный» и «пароль верный» могут быть истинны одновременно, а вход так и не проходит. L2TP и IPsec удостоверяют разные стороны на разных этапах. Сравнение двух уровней и код ошибки, который их разделяет, закрывают большинство таких обращений быстрее, чем очередная замена обоих значений. Этапы не взаимозаменяемы, и сообщение перед вами уже говорит, какой из них в игре.
Два уровня, две разные личности
Сначала выполняется удостоверение партнёра в IPsec. Клиент и шлюз доказывают друг другу, кто они, с помощью предварительно общего ключа или сертификата, прежде чем защищается любая полезная нагрузка туннеля. Обмен PPP внутри сеанса L2TP идёт после, и именно там ваши имя пользователя и пароль проверяются по хранилищу учётных записей сервера.
Этапы независимы, поэтому действительная учётная запись не спасёт неверный ключ IPsec, а правильный ключ не спасёт просроченный пароль. Запишите оба отдельно в обращении, и диагноз обычно выпадает из первой строки журнала, где назван этап.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Общий секрет доказывает партнёра
Предварительно общий ключ — это групповое удостоверение, которое есть у шлюза и у каждого клиента, подключающегося к нему. Он устанавливает, что партнёр знает ключ, и из него IKE выводит ключи, защищающие соединение. Ничто в этом обмене не идентифицирует человека за клавиатурой. Именно поэтому в том же туннеле существует второй вход на уровне пользователя.
У такого решения есть практическое следствие для отзыва. Потеря одного ноутбука означает смену секрета для каждого устройства, которое им пользуется, если только развёртывание не переходит на сертификаты, где одно устройство можно изъять, не трогая остальные. Обмен — это административные усилия против масштаба ущерба.
Ключ, вписанный в профиль, ещё и легче всего утекает через скриншоты и чаты. Относитесь к нему как к общему инфраструктурному материалу, а не как к личному паролю, потому что именно им он и является.
Вход принадлежит PPP
Внутри сеанса L2TP PPP согласует удостоверение и просит сервер проверить пару значений, которую вы ввели. В Windows это те же имя пользователя и пароль, которые запрашивает профиль, а на маршрутизаторе — то, на что ссылается профиль PPP. Проверка идёт по хранилищу учётных записей, а не по ключу. Два человека могут делить ноутбук и ключ и всё равно различаться на этом этапе.
Поскольку это удостоверение пользователя, действуют все обычные политики учётной записи: истёкший пароль, заблокированная запись, разрешение на дозвон или имя, которое должно нести домен. Ошибка 691 сообщает такую комбинацию как отклонённую, поэтому прочитайте учётную запись сервера, прежде чем что-то вводить заново.
Пусть ошибка выберет поле
Ошибка 789 называет уровень безопасности и указывает на этап IPsec. Убедитесь, что предварительно общий ключ с обеих сторон совпадает точно, что ожидаемая шлюзом личность партнёра совпадает с тем, что отправляет клиент, и что клиент настроен на L2TP/IPsec, а не на другой тип.
Ошибка 691 называет удостоверения и указывает на PPP. Проверьте состояние учётной записи и точный формат имени, прежде чем менять секрет, потому что смена обоих сразу уничтожает доказательство, которое вы читали.
Когда туннель поднимается, а трафик всё равно останавливается, полностью прекратите править поля удостоверения. Посмотрите на пул адресов, маршрут назад в подсеть клиента и MTU: сравнение двух уровней помогает только пока сбой ещё внутри них.