ஒரு பிழை, மூன்று ரகசியங்கள்: எந்த VPN சான்று தோல்வியடைந்தது?
ஒவ்வொரு கட்டத்திற்கும் வாடிக்கையாளர் ஒரே பிழையைக் காட்டுகிறார். யாரும் சரிபார்க்காத கடவுச்சொல்லை மீட்டமைக்கும் முன் தொடர்பு, பயனர் பரிமாற்றம் மற்றும் முறையைப் படியுங்கள்.
“அங்கீகாரம் தோல்வியடைந்தது” சேவையகச் சான்றிதழ், இயந்திரத்தின் முன்பகிர்ந்த விசை அல்லது பயனர் கடவுச்சொல்லைக் குறிக்கலாம். எதைக் குறிக்கிறது என்பது நெறிமுறையைப் பொறுத்தது, ஏனெனில் ஒவ்வொரு நெறிமுறையும் வெவ்வேறு ரகசியத் தொகுப்பை வரையறுக்கிறது. தவறானதை மீட்டமைத்தால் பிழை அப்படியே இருக்கும். எதையும் திருத்தும் முன் நெறிமுறை எத்தனை சான்றுகளைக் கோருகிறது என்பதை நிறுவுவதே வழி.
எதிர் திசைகளை நோக்கும் இரண்டு சான்றுகள்
ஒரு சுரங்கப்பாதை சரியான நுழைவாயிலை அடைந்ததா என்பதற்கும், தனியாகப் பயனர் யார் என்பதற்கும் பதிலளிக்க வேண்டும். நுழைவாயில் சான்று இயந்திர அளவில் உள்ளது: சேவையகச் சான்றிதழ், முன்பகிர்ந்த விசை அல்லது நிலையான பொது விசை. பயனர் சான்று நபர் அளவில் உள்ளது: கடவுச்சொல், டோக்கன், வாடிக்கையாளர் சான்றிதழ் அல்லது எதுவும் இல்லை. அவை நம்பிக்கையின் எதிர் திசைகள், வெவ்வேறு பொருளைப் பயன்படுத்துகின்றன.
IKEv2 நுழைவாயில் சான்றை IKE_AUTH-க்குள் செய்கிறது, EAP பயன்படுத்தப்படும்போது பயனர் சான்றைப் பின்னர் தனி பரிமாற்றத்தில் இயக்குகிறது. IKEv2 விவரக்குறிப்பு அவற்றைத் தனித்தனிப் பிரிவுகளாக வைத்திருக்கிறது, ஒரு செய்தி இரு சுற்றுகளையும் உள்ளடக்கும்போது எங்கு பார்க்க வேண்டும் என்பதற்கு இது வலுவான குறிப்பு.
கட்டத்தைப் படியுங்கள், செய்தியை அல்ல
எந்தக் கட்டம் தோல்வியடைந்தாலும் வாடிக்கையாளர் ஒரே பிழை சரத்தைக் காட்டுகிறார், எனவே சரம் தானே கிட்டத்தட்ட எந்தத் தகவலையும் கொண்டிருக்கவில்லை. தகவலைக் கொண்டிருப்பது ஒவ்வொரு கட்டத்திலும் பரிசோதிக்கக்கூடிய நிலை: தொடர்பு உள்ளதா, பயனர் பரிமாற்றம் தொடங்கியதா, நுழைவாயில் விரும்பிய முறையை வாடிக்கையாளர் வழங்கியதா என்பதே. அட்டவணை கட்டங்களை நெறிமுறைப் பெயரால் அல்ல, அந்த வகையில் வரிசைப்படுத்துகிறது.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
இரண்டாவது வரிசை மட்டுமே பயனர் மீண்டும் தட்டச்சு செய்யக்கூடிய சான்றைப் பற்றியது. மற்ற மூன்றும் கட்டமைப்பு உண்மைகள், அந்தப் பொருந்தாமையே இத்தகைய பல அறிக்கைகள் எதையும் மாற்றாத கடவுச்சொல் மீட்டமைப்பில் முடிவதற்குக் காரணம். எந்தப் புலத்தையும் தொடும் முன் உங்கள் சான்றுகளுக்குப் பொருந்தும் வரிசையைப் படியுங்கள்.
இரு ரகசிய நெறிமுறை தன் கையைக் காட்டுகிறது
L2TP IPsec மேல் எண்ணிக்கையைத் தெரியவைக்கிறது, ஏனெனில் இரு சரிபார்ப்புகளும் வெவ்வேறு செயல்முறைகளில் நடக்கின்றன. IPsec அடுக்கு முதலில் முன்பகிர்ந்த விசையுடனோ சான்றிதழுடனோ எழ வேண்டும், அதன் பிறகே அதனுள் இருக்கும் PPP பயனர் உள்நுழைவை முயற்சிக்கிறது.
இயந்திர ரகசியம் தவறாக இருக்கும்போது எந்தத் தொடர்பும் உருவாகாது, பயனர் சான்று ஒருபோதும் முயற்சிக்கப்படாது. இயந்திர ரகசியம் சரியாகவும் பயனர் ரகசியம் தவறாகவும் இருக்கும்போது தொடர்பு இருக்கும், சுரங்கப்பாதை ஏற்கனவே எழுந்த பிறகு PPP உள்நுழைவை நிராகரிக்கிறது. இரண்டும் வெவ்வேறு நிகழ்வுகளிலிருந்து திரையில் ஒரே செய்தியைத் தருகின்றன.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerகாலியான தொடர்புப் பட்டியல் பயனர் அடுக்கை உடனடியாக நீக்குகிறது, எனவே கடவுச்சொல்லுக்கு முன் அதைச் சரிபாருங்கள். மீண்டும் மீண்டும் PPP தோல்விகளுடன் நிறுவப்பட்ட தொடர்பு மறு திசையை, அதாவது பயனர் அடுக்கை அல்லது அதனுள் உள்ள அங்கீகார நெறிமுறையைக் குறிக்கிறது. எந்த முடிவும் வாடிக்கையாளரின் பிழை உரையிலிருந்து கிடைக்காது.
கடவுச்சொல்-மட்டும் உண்மையில் எதைச் சார்ந்துள்ளது
L2TP, PPTP, SSTP மற்றும் EAP உடன் IKEv2 ஆகியவற்றுக்குக் கடவுச்சொல்-மட்டும் அணுகல் சாதாரணமானது. WireGuard-க்கு அத்தகைய விருப்பமே இல்லை, ஏனெனில் அதன் சகாக்கள் பயனர்கள் அல்ல, விசைகள். OpenVPN-க்கு பதில் சேவையகத்தின் வாடிக்கையாளர்-சான்றிதழ் தேவையிலிருந்து வருகிறது: சான்றிதழும் கடவுச்சொல்லும் கோரும் நுழைவாயில், புலத்தில் எதைத் தட்டச்சு செய்தாலும் கடவுச்சொல்-மட்டும் வாடிக்கையாளரைத் தொடர்ந்து நிராகரிக்கும்.
உங்களுக்கு எந்தக் கூறு தேவை என்பது அதே பதிலிலிருந்து வருகிறது. IKEv2 கீழ் கடவுச்சொல் உள்நுழைவுக்கு EAP பேசும் வாடிக்கையாளர் தேவை, சான்றிதழ் உள்நுழைவுக்கு வாடிக்கையாளரின் தனிப்பட்ட விசையும் சேவையகத்தின் சங்கிலியும் தேவை. தவறானதை நிறுவினால், அங்கீகார முறையே இல்லாதபோதும் தோல்வி சான்றுப் பிழையாகப் படிக்கப்படுகிறது.
ஒன்றை மாற்றி, பின்னர் மீண்டும் சோதியுங்கள்
முதலில் மூன்று உண்மைகளை நிறுவுங்கள்: எந்த நெறிமுறை இயங்குகிறது, அது எத்தனை ரகசியங்களை வரையறுக்கிறது, அவற்றில் எவை பயனருக்கு அல்ல, இயந்திரத்திற்குச் சொந்தமானவை. இயந்திரங்கள் முதல் கட்டத்திலும் மனிதர்கள் இரண்டாவது கட்டத்திலும் தோல்வியடைகின்றனர், இவற்றைக் கலப்பதே இந்த முழுப் பிரச்சினை.
பின்னர் சரியாக ஒன்றை மாற்றி அதே வாடிக்கையாளரிடமிருந்து மீண்டும் சோதியுங்கள். அந்த ஒழுக்கம் குழப்பமான தோல்வியை அடுத்த நபருக்கு விவரிக்கக்கூடிய திருத்தமாக மாற்றுகிறது, யாரும் விளக்க முடியாத செயல்படும் இணைப்பை விட இது பயனுள்ளது.