Размена IKEv2 ради, а затим аутентификација не успева: где тражити

Клијент који прими IKEv2 одговор доказао је да је гејтвеј достижан, да обе стране могу да преговарају о предлогу и да је почетна размена кључева завршена. Али није доказао да је било ко аутентификован. Следећа размена носи идентитете, сертификате или EAP, и ту се веза обично зауставља. Читање тога која од тих провера није успела јесте цела дијагноза, а сама порука о грешци то ретко каже.

Провера 1: читајте фазу, не поруку

Одбијање може доћи са три места: клијент одбија идентитет сервера, гејтвеј одбија доказ клијента и спољна услуга аутентификације одбија налог.

Свако производи другачију линију дневника на другој машини, и свако има другачије решење. Одбијање серверског сертификата на страни клијента је проблем поверења или именовања на клијенту; одбијање клијентског сертификата на страни гејтвеја је проблем поверења на гејтвеју; неуспех EAP-а је проблем налога или бекенда. Порука коју видите је обично резиме клијента о једном од тих случајева, зато је дневник гејтвеја исто толико важан колико и клијентов.

Провера 2: који је идентитет проверен

Клијент може да одбије серверски сертификат или очекивани идентитет пре него што се понуде било какви кориснички акредитиви, а радећа адреса сервера није замена за ту проверу. Идентификатор који клијент очекује мора да се поклопи са оним што гејтвеј представља, што је чињеница конфигурације, а не чињеница мреже.

У терминима strongSwan то је rightid на клијенту и сопствени идентитет гејтвеја на другој страни, а неслагање не успева пре него што се EAP уопште размотри.

Гејтвеј засебно може да одбије клијентски сертификат, његов доказ кључа или аутентификацију налога, и та три нису замењива. Ресетовање корисничке лозинке не обнавља сертификат уређаја, а поновна инсталација сертификата уређаја не поправља погрешан идентитет сервера. За неуспехе сертификата прво проверите сат, затим ланац поверења, па очекивани идентификатор; клијент чији сат одступа неколико минута не пролази проверу важности која изгледа као неуспех поверења. swanctl --list-certs на оба краја показује шта свака страна заиста има.

Провера 3: ако је EAP умешан

Клијент и сервер морају да се договоре о подржаном методу, а бекенд мора да прихвати достављени идентитет.

Корисничко име може да захтева доменски суфикс или одређени формат налога који распоређивање захтева, а формат је документован, а не погодљив. Навођење оператерових документованих поља је брже од испробавања варијанти и избегава други проблем: поновљени покушаји могу да изазову закључавање налога, које затим сакрије првобитну фазу иза новог неуспеха. Ако је метод EAP-MSCHAPv2 према директоријуму, неуспех може да припада директоријуму, а не VPN-у.

Не тестирајте проблеме идентитета искључивањем провера идентитета. То претвара дијагностички неуспех у недијагностички и оставља везу слабијом него пре.

Провера 4: шта се дешава после успешне пријаве

Када се IKE_AUTH заврши, преговарање CHILD_SA одлучује који ће се селектори саобраћаја инсталирати, и управо ту веза може да успе, а ипак ништа не пропусти.

Новорадна пријава често открије проблем селектора или руте који је раније био скривен иза неуспеха аутентификације. Ако се тунел подигне, а апликација и даље не стиже до циља, гледајте преговаране селекторе и руте, а не поново идентитет. Мењање подешавања идентитета у том тренутку гађа погрешну фазу и обично поквари пријаву која ради. Потврдите са swanctl --list-sas, који приказује децу и њихове селекторе одвојено од IKE SA.

Провера 5: шта предати подршци

Очишћена временска линија и тачно одбијање вреде више од пуног дијагностичког извоза, а извоз може да садржи приватне кључеве или акредитиве које не би требало делити.

Запишите време са временском зоном, верзије клијента и гејтвеја, метод, низ идентитета који је понуђен, а не лозинку, и тачну фазу која га је одбила. документација за конфигурацију IKEv2 strongSwan описује подешавања идентитета и EAP која одређују ове исходе, и то је референца коју треба прочитати пре измене поља. Затим промените једну ствар и поново тестирајте нову везу, јер кеширана сесија ће вам рећи о старој конфигурацији.