PSK za L2TP/IPsec zavrnjen: najprej pogovorno okno, nato datoteke

Prilepite vnaprej deljeni ključ iz sporočila skrbnika v pogovorno okno NetworkManagerja, označite polje, da ga prikažete, in ujema se znak za znakom. Povezava se vseeno konča z napako preverjanja pristnosti, preden se tunel dvigne. Ko sem to prvič videl, sem domneval, da je ključ napačen; ni bil. O tem, kaj demon v resnici bere, odločata dve drugi stvari: datoteka skrivnosti, ki jo vtičnik zapiše za to povezavo, in ali je vrednost šla skozi okno nespremenjena.

Pot spodaj sledi ključu od polja do datoteke in prav to zaporedje pove, kje se je izgubil. Naredite to na stroju, ki ne uspe, ne na tistem, ki deluje, ker je razlika med tema dvema običajno razporeditev datotek in ne ključ.

Začnite pri pogovornem oknu, a ne zaupajte polju

Odprite zavihek IPsec povezave in ključ znova vnesite, namesto da ga prilepite. Ključ, kopiran iz sporočila v klepetu, PDF-ja ali upravitelja gesel, lahko prispe s prelomom vrstice na koncu, ki ga polje ne prikaže, vidni znaki pa so še vedno videti pravilni.

Kliknite kontrolnik za prikaz gesla in poglejte na konec niza, ne na sredino. Če kazalka pusti prazno vrstico pod besedilom, jo izbrišite in znova vnesite zadnji znak. Ta ena poprava reši presenetljiv delež takšnih poročil in stane manj kot branje katerega koli dnevnika.

Če ključ prihaja iz sistema za zahtevke, ki lomi dolge vrstice, ga zahtevajte po kanalu, ki jih ne lomi. Primerjajte dolžine s skrbnikom, namesto da bi gledali dva niza drug ob drugem; izgubljen znak na mestu preloma je v sorazmerni pisavi neviden.

Sledite ključu v /etc/ipsec.d

Vtičnik nikoli ne preda PSK demonu IPsec kot argumenta v ukazni vrstici. Namesto tega shrani vrednost v datoteko skrivnosti in poskrbi, da demon to datoteko vključi, tako da v /etc/ipsec.secrets doda vrstico include, če je ni. Kar drži pogovorno okno, je vhod za to ustvarjeno datoteko, ne vrednost v uporabi.

Naštejte, kaj obstaja, preden karkoli spremenite:

ipsec --version
sudo ls -l /etc/ipsec.d/*.secrets /etc/ipsec.d/ipsec.nm-l2tp.secrets 2>/dev/null
sudo grep -n "include" /etc/ipsec.secrets

Starejše izdaje vtičnika so pisale eno datoteko na povezavo, poimenovano po UUID povezave, na primer /etc/ipsec.d/nm-l2tp-ipsec-<uuid>.secrets. Brisanje profila v appletu te datoteke ne izbriše zanesljivo. Če je stara datoteka s prejšnjega strežnika še na disku in še vedno vključena, lahko demon izbere skrivnost, ki pripada profilu, ki ga ne uporabljate več, in povezava ne uspe, čeprav je vidno polje pravilno.

Razumejte, kaj je sprememba v 1.2.12 naredila posodobitvam

Različica vtičnika 1.2.12 je datoteke skrivnosti za vsako povezavo nadomestila z eno skupno datoteko, /etc/ipsec.d/ipsec.nm-l2tp.secrets. Posodobitev ne počisti starejših datotek po UUID, obstoječa vrstica include /etc/ipsec.d/*.secrets pa jih še vedno vključuje. Različica 1.2.16 je spremenila obravnavo privzetih predlogov, ne razporeditve skrivnosti.

Ta zgodovina pojasnjuje, zakaj se dva stroja z na videz istim profilom obnašata različno. Ključ je enak; nabor datotek, ki jih demon vključi, ni. Ko odstranite osirotelo datoteko, jo premaknite na stran, namesto da bi jo izbrisali, potrdite povezavo in jo šele nato izbrišite, ko je delujoče stanje zabeleženo. Preimenovanje ohrani staro vrednost obnovljivo, če se izkaže, da je napaka drugje.

Ločite znake, ki jih oblika shranjevanja ne more vsebovati

Dokumentacija strongSwan za niz skupne skrivnosti navaja, da vrednost ne sme vsebovati preloma vrstice ali znaka dvojnega narekovaja. Ključ, prilepljen iz dokumenta, lahko nosi katero koli od tega brez kakršne koli vidne razlike v običajnem pogovornem oknu.

Od 1.2.12 shranjena vrednost ni navadno besedilo. Vtičnik zakodira PSK v base64, preden doseže datoteko, in opombe ob izdaji navajajo to kodiranje kot razlog, da je dvojni narekovaj zdaj sprejemljiv v ključu. Narekovaj, vnesen v polje, je torej predstavljiv; isto ne velja za vsak krmilni znak.

Dolžina je druga omejitev. V programski opremi L2TP/IPsec ne velja univerzalni minimum: nekateri odjemalci sprejmejo ključe, krajše od dvajsetih znakov, nekatera prehodna vrata pa vsiljujejo minimum. Če je kratek ključ zavrnjen, pravilo pripada strežniški politiki ali preverjanju tega odjemalca in dvig nečesa lokalno tega ne bo spremenil.

Preberite, katera raven preverjanja pristnosti je spodletela

Najprej zaženite ipsec --version, ker strongSwan in Libreswan uporabljata različna imena datotek in sintakso, nasvet za enega pa lahko škoduje drugemu. Nato preberite stopnjo odpovedi iz sporočila odjemalca ali dnevnika demona: pritožba glede vnaprej deljenega ključa je drug dogodek kot zavrnjeno uporabniško ime in geslo.

PSK preverja pristnost koncev tunela. Uporabniško ime in geslo preverjata pristnost osebe znotraj L2TP, PPP pa se z njima ukvarja po tem, ko je pridružitev IPsec dvignjena. Pravilen PSK z napačnim računom vseeno spodleti in menjava računa ne bo popravila ključa, ki ga demon nikoli ni pravilno prebral.

Ko zaprete zahtevek, zapišite vse štiri: različico vtičnika, uporabljeno datoteko skrivnosti, ali je bil ključ znova vnesen ali prilepljen, in raven, navedeno v napaki. Tako lahko vsak, ki to pot pozneje ponovi, takoj preskoči na razliko med delujočim in nedelujočim strojem.