Skupna skrivnost ali uporabniška prijava: katero polje L2TP/IPsec je odpovedalo?
Vnaprej deljen ključ dokazuje partnerja, uporabniško ime in geslo PPP pa osebo. Koda napake pove, katera od dveh plasti se je zlomila.
Ena pisarna lahko vsakemu prenosniku dodeli isto skrivnost IPsec, medtem ko se vsak človek prijavi z lastnim računom, zato sta lahko «ključ je pravilen» in «geslo je pravilno» oba resnična, prijava pa vseeno spodleti. L2TP in IPsec preverjata različne strani v različnih fazah. Primerjava obeh plasti in koda napake, ki ju loči, zapreta večino teh zahtevkov hitreje kot še ena zamenjava obeh vrednosti. Faze niso zamenljive, sporočilo pred vami pa že pove, katera je v igri.
Dve plasti, dve različni identiteti
Najprej se izvede preverjanje partnerja IPsec. Odjemalec in prehod drug drugemu dokažeta, kdo sta, z vnaprej deljenim ključem ali potrdilom, preden je zaščitena kakršna koli vsebina tunela. Izmenjava PPP znotraj seje L2TP sledi zatem in prav tam se vaše uporabniško ime in geslo preverita v shrambi računov strežnika.
Faze so neodvisne, zato veljaven uporabniški račun ne more rešiti napačnega ključa IPsec, pravilen ključ pa ne more rešiti poteklega gesla. Zapišite oba ločeno v zahtevek in diagnoza običajno izpade iz prve vrstice dnevnika, ki imenuje fazo.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Skupna skrivnost dokazuje partnerja
Vnaprej deljeni ključ je skupinska poverilnica, ki jo imata prehod in vsak odjemalec, ki se nanj poveže. Ugotavlja, da partner pozna ključ, in iz njega IKE izpelje ključe, ki ščitijo povezavo. Nič v tej izmenjavi ne prepozna človeka za tipkovnico. Prav zato v istem tunelu obstaja druga prijava na uporabniški ravni.
Ta zasnova ima praktično posledico za preklic. Izguba enega prenosnika pomeni menjavo skrivnosti za vsako napravo, ki jo uporablja, razen če se uvedba preseli na potrdila, kjer je mogoče eno napravo odstraniti, ne da bi se dotaknili ostalih. Zamenjava je administrativni napor proti obsegu škode.
Ključ, vtipkan v profil, je tudi najlažje uhajajoča poverilnica prek posnetkov zaslona in klepeta. Obravnavajte ga kot skupni infrastrukturni material in ne kot osebno geslo, ker točno to je.
Prijava pripada PPP
Znotraj seje L2TP se PPP pogaja o preverjanju in prosi strežnik, naj preveri par vrednosti, ki ste ga vnesli. V sistemu Windows sta to isto uporabniško ime in geslo, ki ju zahteva profil, na usmerjevalniku pa tisto, na kar se sklicuje profil PPP. Preverja se v shrambi računov, ne v ključu. Dve osebi si lahko delita prenosnik in ključ in sta v tej fazi vseeno razločeni.
Ker gre za preverjanje uporabnika, veljajo vse običajne politike računa: poteklo geslo, zaklenjen račun, dovoljenje za klicanje ali ime, ki mora nositi domeno. Napaka 691 to kombinacijo sporoči kot zavrnjeno, zato preberite knjigovodski zapis strežnika, preden kar koli znova vtipkate.
Pustite napaki, da izbere polje
Napaka 789 imenuje varnostno plast in kaže na fazo IPsec. Potrdite, da se vnaprej deljeni ključ na obeh straneh natančno ujema, da se identiteta partnerja, ki jo pričakuje prehod, ujema s tem, kar pošilja odjemalec, in da je odjemalec nastavljen za L2TP/IPsec in ne za drugo vrsto.
Napaka 691 imenuje poverilnice in kaže na PPP. Preverite stanje računa in natančno obliko imena, preden spremenite skrivnost, ker sprememba obeh hkrati uniči dokaz, ki ste ga brali.
Ko se tunel dvigne in promet vseeno obstane, povsem prenehajte urejati polja za preverjanje. Poglejte nabor naslovov, pot nazaj v podomrežje odjemalca in MTU: primerjava obeh plasti pomaga le, dokler je okvara še v njima.