Zdieľaný tajný kľúč alebo prihlásenie používateľa: ktoré pole L2TP/IPsec zlyhalo?
Predzdieľaný kľúč preukazuje partnera, zatiaľ čo používateľské meno a heslo PPP preukazujú osobu. Kód chyby hovorí, ktorá z dvoch vrstiev zlyhala.
Jedna kancelária môže dať ten istý IPsec tajný kľúč každému notebooku, zatiaľ čo sa každý človek prihlasuje vlastným účtom, a práve preto môžu byť „kľúč je správny” aj „heslo je správne” pravdivé súčasne a prihlásenie napriek tomu zlyhá. L2TP a IPsec overujú rôzne strany v rôznych fázach. Porovnanie oboch vrstiev a kód chyby, ktorý ich oddeľuje, uzatvárajú väčšinu týchto tiketov rýchlejšie než ďalšia výmena oboch hodnôt. Fázy nie sú zameniteľné a správa pred vami už hovorí, ktorá je v hre.
Dve vrstvy, dve rôzne identity
Najprv beží overenie partnera v IPsec. Klient a brána si navzájom preukážu, kto sú, predzdieľaným kľúčom alebo certifikátom, skôr než sa ochráni akýkoľvek obsah tunela. Výmena PPP vnútri relácie L2TP nasleduje potom a práve tam sa vaše používateľské meno a heslo kontrolujú voči úložisku účtov servera.
Fázy sú nezávislé, takže platný používateľský účet nezachráni nesprávny kľúč IPsec, a správny kľúč nezachráni vypršané heslo. Zapíšte obe oddelene do tiketu a diagnóza zvyčajne vypadne z prvého riadku logu, ktorý pomenuje fázu.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Zdieľaný tajný kľúč preukazuje partnera
Predzdieľaný kľúč je skupinový údaj, ktorý má brána a každý klient, ktorý sa k nej pripája. Preukazuje, že partner kľúč pozná, a z neho IKE odvodzuje kľúče, ktoré chránia spojenie. Nič v tej výmene neidentifikuje človeka pri klávesnici. Práve preto v tom istom tuneli existuje druhé prihlásenie na úrovni používateľa.
Tento návrh má praktický dôsledok pre odvolanie. Strata jedného notebooku znamená rotáciu tajného kľúča pre každé zariadenie, ktoré ho používa, ak sa nasadenie nepresunie na certifikáty, kde sa jedno zariadenie dá odstrániť bez zásahu do ostatných. Obchod je administratívne úsilie proti rozsahu škody.
Kľúč napísaný v profile je tiež najľahšie unikajúci údaj cez snímky obrazovky a chat. Berte ho ako zdieľaný infraštruktúrny materiál a nie ako osobné heslo, pretože presne tým je.
Prihlásenie patrí k PPP
Vnútri relácie L2TP PPP vyjednáva overovanie a žiada server, aby overil dvojicu hodnôt, ktorú ste zadali. V systéme Windows sú to rovnaké používateľské meno a heslo, aké žiada profil, a na smerovači to, na čo odkazuje profil PPP. Kontroluje sa to voči úložisku účtov, nie voči kľúču. Dvaja ľudia môžu zdieľať notebook a kľúč a v tejto fáze sa napriek tomu rozlíšia.
Keďže ide o overovanie používateľa, platia všetky bežné zásady účtu: vypršané heslo, uzamknutý účet, povolenie vytáčania alebo meno, ktoré musí niesť doménu. Chyba 691 hlási túto kombináciu ako odmietnutú, preto si pred novým zadaním prečítajte účtovný záznam servera.
Nechajte chybu vybrať pole
Chyba 789 pomenúva bezpečnostnú vrstvu a ukazuje na fázu IPsec. Overte, že predzdieľaný kľúč na oboch stranách presne súhlasí, že identita partnera očakávaná bránou zodpovedá tomu, čo klient posiela, a že klient je nakonfigurovaný pre L2TP/IPsec, nie pre iný typ.
Chyba 691 pomenúva prihlasovacie údaje a ukazuje na PPP. Skontrolujte stav účtu a presný formát mena, skôr než zmeníte tajný kľúč, pretože zmena oboch naraz zničí dôkaz, ktorý ste čítali.
Keď sa tunel zdvihne a premávka sa stále zastavuje, úplne prestaňte upravovať polia overovania. Pozrite sa na fond adries, trasu späť do podsiete klienta a MTU: porovnanie oboch vrstiev pomáha len dovtedy, kým je porucha ešte v nich.