Sekret i përbashkët apo hyrje përdoruesi: cila fushë e L2TP/IPsec dështoi?
Një çelës i ndarë paraprakisht vërteton partnerin, ndërsa emri i përdoruesit dhe fjalëkalimi i PPP vërtetojnë personin. Kodi i gabimit tregon cila nga dy shtresat u thye.
Një zyrë mund t'i japë të njëjtin sekret IPsec çdo laptopi, ndërkohë që çdo person hyn me një llogari individuale, dhe për këtë arsye «çelësi është i saktë» dhe «fjalëkalimi është i saktë» mund të jenë të vërteta të dyja dhe hyrja prapë të dështojë. L2TP dhe IPsec vërtetojnë palë të ndryshme në faza të ndryshme. Krahasimi i dy shtresave, dhe kodi i gabimit që i ndan, mbyllin shumicën e këtyre tiketave më shpejt sesa një shkëmbim tjetër i të dy vlerave. Fazat nuk janë të këmbyeshme, dhe mesazhi përpara jush tashmë thotë cila është në lojë.
Dy shtresa, dy identitete të ndryshme
Fillimisht ekzekutohet vërtetimi i partnerit IPsec. Klienti dhe porta vërtetojnë reciprokisht kush janë, me një çelës të ndarë paraprakisht ose një certifikatë, përpara se të mbrohet çdo ngarkesë e tunelit. Shkëmbimi PPP brenda sesionit L2TP vjen më pas, dhe atje emri i përdoruesit dhe fjalëkalimi juaj kontrollohen kundrejt depove të llogarive të serverit.
Fazat janë të pavarura, kështu që një llogari e vlefshme përdoruesi nuk mund të shpëtojë një çelës IPsec të gabuar, dhe një çelës i saktë nuk mund të shpëtojë një fjalëkalim të skaduar. Shkruajini të dyja veçmas në tiketë dhe diagnoza zakonisht del nga rreshti i parë i logut që emërton një fazë.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Sekreti i përbashkët vërteton partnerin
Një çelës i ndarë paraprakisht është një kredencial grupi që e kanë porta dhe çdo klient që lidhet me të. Ai vërteton se partneri e njeh çelësin, dhe prej tij IKE nxjerr çelësat që mbrojnë lidhjen. Asgjë në atë shkëmbim nuk identifikon njeriun në tastierë. Pikërisht për këtë arsye ekziston një hyrje e dytë, në nivel përdoruesi, brenda të njëjtit tunel.
Ai dizajn ka një pasojë praktike për revokimin. Humbja e një laptopi do të thotë rrotullim i sekretit për çdo pajisje që e përdor, përveç nëse vendosja kalon në certifikata, ku një pajisje e vetme mund të hiqet pa prekur të tjerat. Shkëmbimi është përpjekje administrative kundrejt përmasës së dëmit.
Një çelës i shtypur në një profil është gjithashtu kredenciali më i lehtë për t'u rrjedhur përmes pamjeve të ekranit dhe bisedave. Trajtojeni si material i infrastrukturës së përbashkët dhe jo si fjalëkalim personal, sepse pikërisht kjo është.
Hyrja i përket PPP
Brenda sesionit L2TP, PPP negocion vërtetimin dhe i kërkon serverit të verifikojë çiftin e vlerave që shtypët. Në Windows janë i njëjti emër përdoruesi dhe fjalëkalim që kërkon profili, dhe në një ruter është ai të cilin e referon profili PPP. Kontrollohet kundrejt depove të llogarive, jo kundrejt çelësit. Dy njerëz mund të ndajnë një laptop dhe një çelës dhe prapë të dallohen në këtë fazë.
Meqenëse është vërtetim përdoruesi, zbatohen të gjitha politikat e zakonshme të llogarisë: fjalëkalim i skaduar, llogari e bllokuar, leje për telefonim ose një emër që duhet të mbajë një domen. Gabimi 691 e raporton atë kombinim si të refuzuar, prandaj lexoni regjistrin kontabël të serverit përpara se të shtypni përsëri diçka.
Lëreni gabimin të zgjedhë fushën
Gabimi 789 emërton shtresën e sigurisë dhe tregon fazën IPsec. Konfirmoni që çelësi i ndarë paraprakisht në të dyja anët përputhet saktësisht, që identiteti i partnerit që pret porta përputhet me atë që dërgon klienti, dhe që klienti është konfiguruar për L2TP/IPsec dhe jo për një lloj tjetër.
Gabimi 691 emërton kredencialet dhe tregon PPP. Kontrolloni gjendjen e llogarisë dhe formatin e saktë të emrit përpara se të ndryshoni sekretin, sepse ndryshimi i të dyjave njëherësh shkatërron provën që po lexonit.
Kur tuneli ngrihet dhe trafiku prapë ndalon, ndaloni plotësisht së redaktuari fushat e vërtetimit. Shikoni pishinën e adresave, rrugën e kthimit në nënrrjetin e klientit dhe MTU: krahasimi i dy shtresave ndihmon vetëm sa kohë defekti është ende brenda tyre.