Një gabim, tri sekrete: cili kredencial VPN dështoi?
Klienti shfaq një gabim për çdo fazë. Lexoni shoqërimin, shkëmbimin e përdoruesit dhe metodën para se të rivendosni një fjalëkalim që askush nuk e kontrolloi.
“Vërtetimi dështoi” mund të tregojë një certifikatë serveri, një çelës të ndarë paraprakisht të makinës ose një fjalëkalim përdoruesi. Cila prej tyre nënkuptohet varet nga protokolli, sepse secili protokoll përcakton një grup tjetër sekretesh. Rivendosni të gabuarin dhe gabimi mbetet i pandryshuar. Rruga e daljes është të përcaktoni sa prova kërkon protokolli para se të ndryshoni çdo gjë.
Dy prova që tregojnë në drejtime të kundërta
Një tunel duhet të përgjigjet nëse arriti portën e duhur dhe, veçmas, kush është përdoruesi. Prova e portës është në nivel makine: një certifikatë serveri, një çelës i ndarë paraprakisht ose një çelës publik statik. Prova e përdoruesit është në nivel personi: një fjalëkalim, një token, një certifikatë klienti, ose asgjë. Këto janë drejtime të kundërta besimi dhe konsumojnë material të ndryshëm.
IKEv2 kryen provën e portës brenda IKE_AUTH dhe, kur përdoret EAP, ekzekuton provën e përdoruesit në një shkëmbim të veçantë më pas. specifikimi IKEv2 i mban ato si seksione të veçanta, gjë që është një shenjë e fortë se ku duhet kërkuar kur një mesazh mbulon të dy raundet.
Lexoni fazën, jo mesazhin
Klienti shfaq të njëjtin varg gabimi pavarësisht se cila fazë dështoi, prandaj vetë vargu pothuajse nuk mbart informacion. Informacion mbart gjendja që mund të inspektoni në secilën fazë: nëse ekziston një shoqërim, nëse filloi një shkëmbim përdoruesi dhe nëse klienti ofroi metodën që donte porta. Tabela i rendit fazat në atë mënyrë, jo sipas emrit të protokollit.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Vetëm rreshti i dytë ka të bëjë me një kredencial që përdoruesi mund ta rishkruajë. Tre të tjerët janë fakte konfigurimi, dhe ky mospërputhje është arsyeja pse shumë prej këtyre raporteve përfundojnë me një rivendosje fjalëkalimi që nuk ndryshon asgjë. Lexoni rreshtin që përputhet me provat tuaja para se të prekni një fushë.
Një protokoll me dy sekrete i zbulon kartat
L2TP mbi IPsec e bën numrin të dukshëm, sepse të dy kontrollet ndodhin në procese të ndryshme. Shtresa IPsec duhet të ngrihet së pari me një çelës të ndarë paraprakisht ose një certifikatë, dhe vetëm atëherë PPP brenda saj provon një hyrje përdoruesi.
Kur sekreti i makinës është i gabuar, nuk formohet asnjë shoqërim dhe kredenciali i përdoruesit nuk provohet kurrë. Kur sekreti i makinës është i saktë dhe ai i përdoruesit i gabuar, shoqërimi ekziston dhe PPP e refuzon hyrjen pasi tuneli është tashmë lart. Të dyja japin të njëjtin mesazh në ekran nga dy ngjarje të ndryshme.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerNjë listë e zbrazët shoqërimesh eliminon menjëherë shtresën e përdoruesit, prandaj kontrollojeni para fjalëkalimit. Një shoqërim i vendosur me dështime të përsëritura PPP tregon në drejtimin tjetër, te shtresa e përdoruesit ose te protokolli i vërtetimit brenda saj. Asnjë prej përfundimeve nuk është e disponueshme nga teksti i gabimit të klientit.
Nga se varet në të vërtetë aksesi vetëm me fjalëkalim
Aksesi vetëm me fjalëkalim është i zakonshëm për L2TP, PPTP, SSTP dhe IKEv2 me EAP. WireGuard nuk e ka fare një opsion të tillë, sepse partnerët e tij janë çelësa dhe jo përdorues. Për OpenVPN përgjigjja vjen nga kërkesa e serverit për certifikatë klienti: një portë që kërkon edhe certifikatë edhe fjalëkalim do të vazhdojë të refuzojë një klient vetëm me fjalëkalim, çfarëdo që shkruhet në fushë.
Cili komponent ju nevojitet rrjedh nga e njëjta përgjigje. Një hyrje me fjalëkalim nën IKEv2 kërkon një klient që flet EAP, ndërsa një hyrje me certifikatë kërkon çelësin privat të klientit dhe zinxhirin e serverit. Instaloni të gabuarin dhe dështimi lexohet si gabim kredenciali, edhe pse mungon vetë metoda e vërtetimit.
Ndryshoni një gjë, pastaj ritestoni
Së pari përcaktoni tri fakte: cili protokoll po funksionon, sa sekrete përcakton dhe cilat prej tyre i përkasin makinës dhe jo përdoruesit. Makinat dështojnë në fazën e parë dhe njerëzit në të dytën, dhe ngatërrimi i këtyre të dyjave është i gjithë ky problem.
Pastaj ndryshoni saktësisht një gjë dhe ritestoni nga i njëjti klient. Kjo disiplinë e kthen një dështim konfuz në një rregullim që mund t'ia përshkruani personit të radhës, që është më e dobishme se një lidhje që funksionon dhe që askush nuk mund ta shpjegojë.