Ena napaka, tri skrivnosti: katera poverilnica VPN je odpovedala?
Odjemalec prikaže eno napako za vsako stopnjo. Preberite povezavo, izmenjavo uporabnika in metodo, preden ponastavite geslo, ki ga ni nihče preveril.
„Preverjanje pristnosti ni uspelo” lahko kaže na strežniško potrdilo, vnaprej dogovorjeni ključ stroja ali uporabniško geslo. Katero je mišljeno, je odvisno od protokola, ker vsak protokol določi drug nabor skrivnosti. Ponastavite napačno in napaka ostane nespremenjena. Izhod je ugotoviti, koliko dokazov protokol zahteva, preden karkoli spremenite.
Dva dokaza, ki kažeta v nasprotni smeri
Predor mora odgovoriti, ali je dosegel pravi prehod, in ločeno, kdo je uporabnik. Dokaz prehoda je na ravni stroja: strežniško potrdilo, vnaprej dogovorjeni ključ ali statični javni ključ. Dokaz uporabnika je na ravni osebe: geslo, žeton, odjemalčevo potrdilo ali nič. To so nasprotne smeri zaupanja in porabijo različen material.
IKEv2 izvede dokaz prehoda znotraj IKE_AUTH in, ko se uporablja EAP, zažene dokaz uporabnika v ločeni izmenjavi pozneje. specifikacija IKEv2 ju hrani kot ločena razdelka, kar je močan namig, kje iskati, ko eno sporočilo pokriva oba kroga.
Berite stopnjo, ne sporočila
Odjemalec prikaže isti niz napake ne glede na to, katera stopnja je odpovedala, zato sam niz skoraj ne nosi informacije. Informacijo nosi stanje, ki ga lahko pregledate na vsaki stopnji: ali povezava obstaja, ali se je izmenjava uporabnika začela in ali je odjemalec ponudil metodo, ki jo je prehod želel. Tabela razvrsti stopnje tako, ne po imenu protokola.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Samo druga vrstica se nanaša na poverilnico, ki jo uporabnik lahko znova vnese. Ostale tri so konfiguracijska dejstva in to neskladje je razlog, da se toliko teh poročil konča s ponastavitvijo gesla, ki ničesar ne spremeni. Preberite vrstico, ki ustreza vašim dokazom, preden se dotaknete polja.
Protokol z dvema skrivnostma pokaže svoje karte
L2TP prek IPsec naredi število vidno, ker se oba preverjanja zgodita v različnih procesih. Plasti IPsec se mora najprej dvigniti z vnaprej dogovorjenim ključem ali potrdilom, in šele nato PPP znotraj nje poskusi prijavo uporabnika.
Ko je skrivnost stroja napačna, ne nastane nobena povezava in uporabniška poverilnica se nikoli ne preizkusi. Ko je skrivnost stroja pravilna in uporabniška napačna, povezava obstaja in PPP zavrne prijavo, potem ko je predor že dvignjen. Oba dajeta isto sporočilo na zaslonu iz dveh različnih dogodkov.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerPrazen seznam povezav takoj izloči uporabniško plast, zato ga preverite pred geslom. Vzpostavljena povezava s ponavljajočimi se napakami PPP kaže v drugo smer, na uporabniško plast ali na protokol preverjanja pristnosti v njej. Nobenega od teh sklepov ni mogoče dobiti iz besedila napake odjemalca.
Od česa je pravzaprav odvisen dostop samo z geslom
Dostop samo z geslom je običajen pri L2TP, PPTP, SSTP in IKEv2 z EAP. WireGuard take možnosti sploh nima, ker so njegovi vrstniki ključi in ne uporabniki. Pri OpenVPN odgovor izhaja iz strežniške zahteve po odjemalčevem potrdilu: prehod, ki zahteva tako potrdilo kot geslo, bo še naprej zavračal odjemalca samo z geslom, karkoli je vpisano v polje.
Katero komponento potrebujete, izhaja iz istega odgovora. Prijava z geslom pod IKEv2 zahteva odjemalca, ki govori EAP, medtem ko prijava s potrdilom potrebuje zasebni ključ odjemalca in strežniško verigo. Namestite napačno in odpoved se bere kot napaka poverilnice, čeprav manjka sama metoda preverjanja pristnosti.
Spremenite eno stvar, nato znova preizkusite
Najprej ugotovite tri dejstva: kateri protokol teče, koliko skrivnosti določa in katere od njih pripadajo stroju, ne uporabniku. Stroji odpovedo na prvi stopnji in ljudje na drugi, in zamenjava teh dveh je ves ta problem.
Nato spremenite natanko eno stvar in znova preizkusite z istega odjemalca. Ta disciplina spremeni zmedeno odpoved v popravek, ki ga lahko opišete naslednji osebi, kar je bolj uporabno kot delujoča povezava, ki je nihče ne zna razložiti.