Výmena IKEv2 funguje, potom overenie zlyhá: kde hľadať

Klient, ktorý dostane odpoveď IKEv2, dokázal, že brána je dostupná, že obe strany môžu vyjednať návrh a že úvodná výmena kľúčov sa dokončila. Nedokázal však, že je niekto overený. Nasledujúca výmena prenáša identity, certifikáty alebo EAP, a práve tam sa spojenie zvyčajne zastaví. Prečítať, ktorá z týchto kontrol zlyhala, je celá diagnóza, a samotná chybová správa to zriedka povie.

Kontrola 1: čítajte fázu, nie správu

Odmietnutie môže prísť z troch miest: klient odmietne identitu servera, brána odmietne dôkaz klienta a externá overovacia služba odmietne účet.

Každé vytvára iný riadok protokolu na inom počítači a každé má iné riešenie. Odmietnutie certifikátu servera na strane klienta je problém dôvery alebo pomenovania na klientovi; odmietnutie certifikátu klienta na strane brány je problém dôvery na bráne; zlyhanie EAP je problém účtu alebo backendu. Správa, ktorú vidíte, je zvyčajne zhrnutie klienta o jednom z nich, a preto je protokol brány rovnako dôležitý ako protokol klienta.

Kontrola 2: ktorá identita sa overovala

Klient môže odmietnuť certifikát servera alebo očakávanú identitu skôr, než sa ponúknu akékoľvek používateľské prihlasovacie údaje, a funkčná adresa servera nie je náhradou tejto kontroly. Identifikátor, ktorý klient očakáva, sa musí zhodovať s tým, čo predkladá brána, čo je fakt konfigurácie a nie fakt siete.

V terminológii strongSwan je to rightid na klientovi a vlastná identita brány na druhej strane, a nezhoda zlyhá ešte predtým, než sa vôbec hovorí o EAP.

Brána môže samostatne odmietnuť certifikát klienta, jeho dôkaz kľúča alebo overenie účtu, a tieto tri nie sú zameniteľné. Reset hesla používateľa neobnoví certifikát zariadenia a preinštalovanie certifikátu zariadenia neopraví nesprávnu identitu servera. Pri zlyhaniach certifikátov najprv skontrolujte hodiny, potom reťazec dôvery a nakoniec očakávaný identifikátor; klient, ktorého hodiny sa rozchádzajú o niekoľko minút, zlyhá v kontrole platnosti, ktorá vyzerá ako zlyhanie dôvery. swanctl --list-certs na oboch koncoch ukazuje, čo každá strana skutočne má.

Kontrola 3: ak je v hre EAP

Klient a server sa musia dohodnúť na podporovanej metóde a backend musí prijať poskytnutú identitu.

Používateľské meno môže potrebovať doménový sufix alebo konkrétny formát účtu, ktorý vyžaduje nasadenie, a formát je zdokumentovaný, nie uhádnuteľný. Zadanie zdokumentovaných polí operátora je rýchlejšie než skúšanie variantov a vyhýba sa druhému problému: opakované pokusy môžu spôsobiť uzamknutie účtu, ktoré potom skryje pôvodnú fázu za novým zlyhaním. Ak je metóda EAP-MSCHAPv2 voči adresáru, zlyhanie môže patriť adresáru a nie VPN.

Netestujte problémy s identitou vypnutím kontrol identity. To mení diagnostikovateľné zlyhanie na nediagnostikovateľné a necháva spojenie slabšie ako predtým.

Kontrola 4: čo sa stane po úspešnom prihlásení

Keď sa IKE_AUTH dokončí, vyjednávanie CHILD_SA rozhoduje, ktoré selektory prevádzky sa nainštalujú, a práve tam môže spojenie uspieť a napriek tomu nič neprepustiť.

Novo fungujúce prihlásenie často odhalí problém so selektorom alebo trasou, ktorý bol predtým skrytý za zlyhaním overenia. Ak tunel nabehne a aplikácia stále nedosiahne svoj cieľ, pozerajte sa na vyjednané selektory a trasy a nie znova na identitu. Zmena nastavení identity v tom momente mieri na nesprávnu fázu a zvyčajne pokazí fungujúce prihlásenie. Potvrďte pomocou swanctl --list-sas, ktorý zobrazuje deti a ich selektory oddelene od IKE SA.

Kontrola 5: čo odovzdať podpore

Vyčistená časová os a presné odmietnutie majú väčšiu hodnotu než úplný diagnostický export a export môže obsahovať súkromné kľúče alebo prihlasovacie údaje, ktoré by ste nemali zdieľať.

Zapíšte čas s časovým pásmom, verzie klienta a brány, metódu, reťazec identity, ktorý bol ponúknutý, a nie heslo, a presnú fázu, ktorá ho odmietla. dokumentácia ku konfigurácii IKEv2 od strongSwan opisuje nastavenia identity a EAP, ktoré určujú tieto výsledky, a je to referencia, ktorú treba prečítať pred zmenou poľa. Potom zmeňte jednu vec a znova otestujte nové spojenie, pretože vyrovnávacia pamäť relácie vám povie o starej konfigurácii.