Заједничка тајна или пријава корисника: које поље L2TP/IPsec-а није успело?
Унапред дељени кључ доказује партнера, а PPP корисничко име и лозинка доказују особу. Код грешке каже који је од два слоја отказао.
Једна канцеларија може дати исту IPsec тајну сваком лаптопу, док се свака особа ипак пријављује сопственим налогом, и зато „кључ је исправан” и „лозинка је исправна” могу бити тачни истовремено а пријава ипак не успева. L2TP и IPsec проверавају различите стране у различитим фазама. Поређење двају слојева и код грешке који их раздваја затварају већину оваквих захтева брже од још једне замене обе вредности. Фазе нису замењиве, а порука пред вама већ каже која је у игри.
Два слоја, два различита идентитета
Прво се извршава IPsec провера партнера. Клијент и пролаз доказују један другом ко су, унапред дељеним кључем или сертификатом, пре него што се заштити било који садржај тунела. Размена PPP унутар L2TP сесије иде после и ту се ваше корисничко име и лозинка проверавају према спремишту налога на серверу.
Фазе су независне, па важећи кориснички налог не може спасити погрешан IPsec кључ, а исправан кључ не може спасити истеклу лозинку. Запишите их одвојено у захтев и дијагноза обично испадне из првог реда записа који именује фазу.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Заједничка тајна доказује партнера
Унапред дељени кључ је групни акредитив који држе пролаз и сваки клијент који се на њега повезује. Њиме се утврђује да партнер зна кључ, и из њега IKE изводи кључеве који штите везу. Ништа у тој размени не идентификује човека за тастатуром. Управо зато у истом тунелу постоји друга пријава на нивоу корисника.
Тај дизајн има практичну последицу за опозив. Губитак једног лаптопа значи ротацију тајне за сваки уређај који је користи, осим ако се распоређивање не пребаци на сертификате, где се један уређај може уклонити без дирања осталих. Замена је административни рад против обима штете.
Кључ уписан у профил уједно је и најлакши акредитив за цурење кроз снимке екрана и ћаскање. Третирајте га као заједнички инфраструктурни материјал, а не као личну лозинку, јер то управо и јесте.
Пријава припада PPP-у
Унутар L2TP сесије PPP преговара проверу и тражи од сервера да потврди пар вредности које сте унели. На Windows-у то су исто корисничко име и лозинка које тражи профил, а на рутеру оно на шта упућује PPP профил. Проверава се према спремишту налога, не према кључу. Двоје људи могу делити лаптоп и кључ и опет се разликовати у овој фази.
Пошто је то провера корисника, важе сва уобичајена правила налога: истекла лозинка, закључан налог, дозвола за позивање или име које мора носити домен. Грешка 691 пријављује ту комбинацију као одбијену, па прочитајте књиговодствени запис сервера пре него што било шта поново откуцате.
Нека грешка изабере поље
Грешка 789 именује безбедносни слој и упућује на фазу IPsec. Потврдите да се унапред дељени кључ на обе стране тачно поклапа, да идентитет партнера који пролаз очекује одговара ономе што клијент шаље и да је клијент конфигурисан за L2TP/IPsec, а не за други тип.
Грешка 691 именује акредитиве и упућује на PPP. Проверите стање налога и тачан формат имена пре него што промените тајну, јер промена оба одједном уништава доказ који сте читали.
Када се тунел подигне а саобраћај и даље стане, потпуно престаните да уређујете поља за проверу. Погледајте базен адреса, руту назад у клијентску подмрежу и MTU: поређење двају слојева помаже само док је квар још унутар њих.