Ubadilishanaji wa IKEv2 hufanya kazi, kisha uthibitishaji unashindikana: wapi pa kutafuta

Mteja anayepokea jibu la IKEv2 amethibitisha kwamba lango linafikiwa, kwamba pande zote mbili zinaweza kujadiliana pendekezo na kwamba ubadilishanaji wa awali wa funguo umekamilika. Lakini hakuthibitisha kwamba mtu yeyote amethibitishwa. Ubadilishanaji unaofuata hubeba utambulisho, vyeti au EAP, na hapo ndipo muunganisho hukoma kwa kawaida. Kusoma ni ukaguzi upi ulishindikana ndio uchunguzi wote, na ujumbe wa hitilafu peke yake mara chache huusema.

Ukaguzi 1: soma hatua, si ujumbe

Kukataa kunaweza kutoka sehemu tatu: mteja anakataa utambulisho wa seva, lango linakataa uthibitisho wa mteja na huduma ya nje ya uthibitishaji inakataa akaunti.

Kila moja hutoa mstari tofauti wa kumbukumbu kwenye mashine tofauti, na kila moja ina suluhisho tofauti. Kukataa kwa cheti cha seva upande wa mteja ni tatizo la uaminifu au utambulisho kwa mteja; kukataa kwa cheti cha mteja upande wa lango ni tatizo la uaminifu kwa lango; kushindikana kwa EAP ni tatizo la akaunti au backend. Ujumbe unaouona kwa kawaida ni muhtasari wa mteja kuhusu mojawapo ya hayo, ndiyo sababu kumbukumbu ya lango ni muhimu kama ile ya mteja.

Ukaguzi 2: ni utambulisho upi uliokaguliwa

Mteja anaweza kukataa cheti cha seva au utambulisho unaotarajiwa kabla ya utambulisho wowote wa mtumiaji kutolewa, na anwani ya seva inayofanya kazi haichukui nafasi ya ukaguzi huo. Kitambulisho anachotarajia mteja lazima kilingane na kile lango linawasilisha, jambo ambalo ni ukweli wa usanidi na si ukweli wa mtandao.

Kwa maneno ya strongSwan hiyo ni rightid kwa mteja na utambulisho wa lango yenyewe upande wa pili, na kutokulingana kunashindikana kabla ya EAP hata kujadiliwa.

Lango kwa upande wake linaweza kukataa cheti cha mteja, uthibitisho wa ufunguo wake au uthibitishaji wa akaunti, na hizo tatu hazibadilishani. Kuweka upya nenosiri la mtumiaji hakuongezi muda wa cheti cha kifaa, na kusakinisha upya cheti cha kifaa hakurekebishi utambulisho mbaya wa seva. Kwa kushindikana kwa vyeti, angalia saa kwanza, kisha mnyororo wa uaminifu, kisha kitambulisho kinachotarajiwa; mteja ambaye saa yake inatofautiana kwa dakika chache hushindikana katika ukaguzi wa uhalali unaoonekana kama kushindikana kwa uaminifu. swanctl --list-certs katika ncha zote mbili huonyesha kila upande unashikilia nini kwa kweli.

Ukaguzi 3: ikiwa EAP inahusika

Mteja na seva lazima wakubaliane juu ya mbinu inayotumika, na backend lazima ikubali utambulisho uliotolewa.

Jina la mtumiaji linaweza kuhitaji kiambishi cha kikoa au muundo maalum wa akaunti unaohitajika na usambazaji, na muundo umeandikwa na hauwezi kukisiwa. Kutoa sehemu zilizoandikwa za mwendeshaji ni haraka kuliko kujaribu aina mbalimbali, na huepuka tatizo la pili: majaribio ya mara kwa mara yanaweza kusababisha kufungwa kwa akaunti, ambayo kisha huficha hatua ya awali nyuma ya kushindikana mpya. Ikiwa mbinu ni EAP-MSCHAPv2 dhidi ya saraka, kushindikana kunaweza kuwa kwa saraka na si kwa VPN.

Usijaribu matatizo ya utambulisho kwa kuzima ukaguzi wa utambulisho. Hiyo hubadilisha kushindikana kunakoweza kuchunguzwa kuwa kusikoweza kuchunguzwa na huacha muunganisho dhaifu kuliko hapo awali.

Ukaguzi 4: nini hufanyika baada ya kuingia kwa mafanikio

Baada ya IKE_AUTH kukamilika, majadiliano ya CHILD_SA huamua ni wateuzi gani wa trafiki watawekwa, na hapo ndipo muunganisho unaweza kufanikiwa na bado usipitishe chochote.

Kuingia kunakofanya kazi hivi karibuni mara nyingi hufichua tatizo la kiteuzi au njia ambalo hapo awali lilikuwa limefichwa nyuma ya kushindikana kwa uthibitishaji. Ikiwa tuneli linapanda na programu bado haifikii lengo lake, angalia wateuzi na njia zilizojadiliwa badala ya utambulisho tena. Kubadilisha mipangilio ya utambulisho wakati huo kunalenga hatua isiyo sahihi na kwa kawaida huvunja kuingia kunakofanya kazi. Thibitisha kwa swanctl --list-sas, ambayo huonyesha watoto na wateuzi wao kando na IKE SA.

Ukaguzi 5: nini cha kumpa msaada

Ratiba iliyosafishwa na kukataa kwa usahihi vina thamani zaidi kuliko uhamishaji kamili wa uchunguzi, na uhamishaji unaweza kuwa na funguo za faragha au vitambulisho ambavyo hupaswi kushiriki.

Rekodi muda pamoja na eneo la muda, matoleo ya mteja na lango, mbinu, mfuatano wa utambulisho uliotolewa badala ya nenosiri, na hatua kamili iliyoukataa. nyaraka za usanidi wa IKEv2 za strongSwan zinaeleza mipangilio ya utambulisho na EAP inayoamua matokeo haya, na ndiyo rejea ya kusoma kabla ya kubadilisha sehemu. Kisha badilisha kitu kimoja na ujaribu tena muunganisho mpya, kwa sababu kikao kilichohifadhiwa kwenye akiba kitakuambia kuhusu usanidi wa zamani.