Hitilafu moja, siri tatu: ni kitambulisho kipi cha VPN kilishindwa?
Mteja anaonyesha hitilafu moja kwa kila hatua. Soma muunganisho, mabadilishano ya mtumiaji na mbinu kabla ya kuweka upya nenosiri ambalo hakuna aliyelikagua.
“Uthibitishaji umeshindwa” inaweza kuelekeza kwenye cheti cha seva, ufunguo ulioshirikiwa wa mashine au nenosiri la mtumiaji. Ni ipi inayomaanishwa inategemea itifaki, kwa sababu kila itifaki hufafanua seti tofauti ya siri. Weka upya ile isiyo sahihi na hitilafu itabaki vile vile. Njia ya kutoka ni kubaini ni ithibati ngapi itifaki inahitaji kabla ya kuhariri kitu chochote.
Ithibati mbili zinazoelekea pande tofauti
Tunneli lazima ijibu ikiwa imefikia lango sahihi, na kwa mbadala, mtumiaji ni nani. Ithibati ya lango ni ya ngazi ya mashine: cheti cha seva, ufunguo ulioshirikiwa au ufunguo wa umma usiobadilika. Ithibati ya mtumiaji ni ya ngazi ya mtu: nenosiri, tokeni, cheti cha mteja, au hakuna kabisa. Hizo ni mwelekeo tofauti wa uaminifu na hutumia nyenzo tofauti.
IKEv2 hufanya ithibati ya lango ndani ya IKE_AUTH na, EAP inapotumika, huendesha ithibati ya mtumiaji katika mabadilishano tofauti baadaye. vipimo vya IKEv2 huziweka kama sehemu tofauti, jambo ambalo ni kidokezo kikubwa kuhusu mahali pa kuangalia wakati ujumbe mmoja unashughulikia raundi zote mbili.
Soma hatua, si ujumbe
Mteja anaonyesha mfuatano mmoja wa hitilafu bila kujali ni hatua ipi ilishindwa, kwa hiyo mfuatano wenyewe haubeba karibu taarifa yoyote. Kinachobeba taarifa ni hali unayoweza kukagua katika kila hatua: kama muunganisho upo, kama mabadilishano ya mtumiaji yalianza, na kama mteja alitoa mbinu ambayo lango lilihitaji. Jedwali hupanga hatua kwa njia hiyo, badala ya kwa jina la itifaki.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Ni mstari wa pili pekee unaohusu kitambulisho ambacho mtumiaji anaweza kuandika upya. Mitatu iliyobaki ni ukweli wa usanidi, na kutokulingana huko ndiko sababu ripoti nyingi kama hizi huishia kwenye kuweka upya nenosiri ambalo halibadilishi chochote. Soma mstari unaolingana na ithibati zako kabla ya kugusa sehemu yoyote.
Itifaki yenye siri mbili huonyesha mkono wake
L2TP juu ya IPsec hufanya hesabu ionekane, kwa sababu ukaguzi wote hufanyika katika michakato tofauti. Tabaka la IPsec lazima liinuke kwanza likiwa na ufunguo ulioshirikiwa au cheti, na hapo ndipo PPP ndani yake hujaribu kuingia kwa mtumiaji.
Siri ya mashine inapokosea, hakuna muunganisho unaoundwa na kitambulisho cha mtumiaji hakijaribiwi kamwe. Siri ya mashine ikiwa sahihi na siri ya mtumiaji ikiwa isiyo sahihi, muunganisho upo na PPP hukataa kuingia baada ya tunneli kuwa juu tayari. Zote mbili hutoa ujumbe huo huo kwenye skrini kutoka matukio mawili tofauti.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerOrodha tupu ya muunganisho huondoa tabaka la mtumiaji mara moja, kwa hiyo ikague kabla ya nenosiri. Muunganisho ulioimarika wenye kushindwa kwa PPP mara kwa mara huelekeza upande mwingine, tabaka la mtumiaji au itifaki ya uthibitishaji ndani yake. Hakuna hitimisho lolote linalopatikana kutoka kwa maandishi ya hitilafu ya mteja.
Ufikiaji wa nenosiri-pekee hutegemea nini hasa
Ufikiaji wa nenosiri-pekee ni wa kawaida kwa L2TP, PPTP, SSTP na IKEv2 yenye EAP. WireGuard haina chaguo kama hilo kabisa, kwa sababu rika zake ni funguo na si watumiaji. Kwa OpenVPN jibu hutoka kwa mahitaji ya seva ya cheti cha mteja: lango linalodai cheti na nenosiri litaendelea kukataa mteja wa nenosiri-pekee, chochote kinachobandikwa kwenye sehemu.
Sehemu unayohitaji inafuata kutoka jibu hilo hilo. Kuingia kwa nenosiri chini ya IKEv2 kunahitaji mteja anayezungumza EAP, wakati kuingia kwa cheti kunahitaji ufunguo wa faragha wa mteja na mnyororo wa seva. Sakinisha isiyo sahihi na kushindwa husomwa kama hitilafu ya kitambulisho, ingawa mbinu ya uthibitishaji yenyewe ndiyo inayokosekana.
Badilisha kitu kimoja, kisha ujaribu tena
Kwanza thibitisha mambo matatu: ni itifaki ipi inayoendesha, inafafanua siri ngapi, na zipi kati yao ni za mashine badala ya mtumiaji. Mashine hushindwa katika hatua ya kwanza na watu katika ya pili, na kuchanganya hizo mbili ni tatizo hili lote.
Kisha badilisha kitu kimoja hasa na ujaribu tena kutoka kwa mteja huyo huyo. Nidhamu hiyo hugeuza kushindwa kwa kutatanisha kuwa marekebisho unayoweza kumweleza mtu anayefuata, jambo ambalo lina manufaa zaidi kuliko muunganisho unaofanya kazi ambao hakuna anayeweza kuueleza.