Izmenjava IKEv2 deluje, nato preverjanje pristnosti ne uspe: kje iskati

Odjemalec, ki prejme odgovor IKEv2, je dokazal, da je prehod dosegljiv, da se obe strani lahko pogajata o predlogu in da je začetna izmenjava ključev končana. Ni pa dokazal, da je kdo overjen. Naslednja izmenjava prenaša identitete, potrdila ali EAP, in tam se povezava običajno ustavi. Branje, katero od teh preverjanj je spodletelo, je celotna diagnoza, in samo sporočilo o napaki to redko pove.

Preverjanje 1: berite stopnjo, ne sporočila

Zavrnitev lahko pride s treh mest: odjemalec zavrne identiteto strežnika, prehod zavrne dokaz odjemalca in zunanja storitev preverjanja pristnosti zavrne račun.

Vsaka ustvari drugo vrstico dnevnika na drugem računalniku in vsaka ima drugo rešitev. Zavrnitev strežnikovega potrdila na strani odjemalca je težava zaupanja ali poimenovanja na odjemalcu; zavrnitev odjemalčevega potrdila na strani prehoda je težava zaupanja na prehodu; napaka EAP je težava računa ali zaledja. Sporočilo, ki ga vidite, je običajno povzetek odjemalca o enem od teh primerov, zato je dnevnik prehoda enako pomemben kot dnevnik odjemalca.

Preverjanje 2: katera identiteta je bila preverjena

Odjemalec lahko zavrne strežnikovo potrdilo ali pričakovano identiteto, preden se ponudi kakršna koli uporabniška poverilnica, in delujoč naslov strežnika ne nadomesti tega preverjanja. Identifikator, ki ga odjemalec pričakuje, se mora ujemati s tem, kar predstavi prehod, kar je dejstvo konfiguracije in ne dejstvo omrežja.

V izrazih strongSwan je to rightid na odjemalcu in lastna identiteta prehoda na drugi strani, in neujemanje spodleti, še preden se sploh govori o EAP.

Prehod lahko ločeno zavrne odjemalčevo potrdilo, njegov dokaz ključa ali overitev računa, in ti trije niso zamenljivi. Ponastavitev uporabniškega gesla ne obnovi potrdila naprave, ponovna namestitev potrdila naprave pa ne odpravi napačne identitete strežnika. Pri napakah s potrdili najprej preverite uro, nato verigo zaupanja in nazadnje pričakovani identifikator; odjemalec, katerega ura se razlikuje za nekaj minut, spodleti pri preverjanju veljavnosti, ki je videti kot napaka zaupanja. swanctl --list-certs na obeh koncih pokaže, kaj ima vsaka stran v resnici.

Preverjanje 3: če je v igri EAP

Odjemalec in strežnik se morata dogovoriti o podprti metodi, zaledje pa mora sprejeti posredovano identiteto.

Uporabniško ime lahko potrebuje domensko pripono ali določeno obliko računa, ki jo zahteva uvajanje, in oblika je dokumentirana, ne pa ugibana. Navajanje operaterjevih dokumentiranih polj je hitrejše od preizkušanja različic in se izogne drugi težavi: ponavljajoči se poskusi lahko povzročijo zaklep računa, ki nato skrije prvotno stopnjo za novo napako. Če je metoda EAP-MSCHAPv2 proti imeniku, lahko napaka pripada imeniku in ne VPN.

Težav z identiteto ne preizkušajte z izklopom preverjanj identitete. To spremeni diagnostično napako v nediagnostično in pusti povezavo šibkejšo kot prej.

Preverjanje 4: kaj se zgodi po uspešni prijavi

Ko se IKE_AUTH zaključi, pogajanje CHILD_SA odloči, kateri izbirniki prometa se namestijo, in prav tam lahko povezava uspe in vseeno nič ne prepusti.

Na novo delujoča prijava pogosto razkrije težavo z izbirnikom ali potjo, ki je bila prej skrita za napako overjanja. Če se predor dvigne in aplikacija še vedno ne doseže cilja, poglejte dogovorjene izbirnike in poti, ne pa znova identitete. Spreminjanje nastavitev identitete takrat cilja na napačno stopnjo in običajno pokvari delujočo prijavo. Potrdite s swanctl --list-sas, ki prikaže otroke in njihove izbirnike ločeno od IKE SA.

Preverjanje 5: kaj predati podpori

Očiščena časovnica in natančna zavrnitev sta vrednejši od celotnega diagnostičnega izvoza, izvoz pa lahko vsebuje zasebne ključe ali poverilnice, ki jih ne bi smeli deliti.

Zapišite čas s časovnim pasom, različici odjemalca in prehoda, metodo, niz identitete, ki je bil ponujen, in ne geslo, ter natančno stopnjo, ki ga je zavrnila. dokumentacija za konfiguracijo IKEv2 strongSwan opisuje nastavitve identitete in EAP, ki določajo te izide, in to je referenca, ki jo je treba prebrati pred spremembo polja. Nato spremenite eno stvar in znova preizkusite novo povezavo, ker v predpomnilniku shranjena seja vam bo povedala o stari konfiguraciji.