IKEv2 మార్పిడి పనిచేస్తుంది, ఆ తర్వాత ప్రామాణీకరణ విఫలమవుతుంది: ఎక్కడ చూడాలి

IKEv2 ప్రతిస్పందనను పొందిన క్లయింట్ గేట్వే చేరుకోగలదని, రెండు వైపులా ప్రతిపాదనపై చర్చలు జరపగలవని మరియు ప్రారంభ కీ మార్పిడి పూర్తయిందని నిరూపించింది. కానీ ఎవరైనా ప్రామాణీకరించబడ్డారని నిరూపించలేదు. తదుపరి మార్పిడి గుర్తింపులు, ధృవపత్రాలు లేదా EAP తీసుకువెళుతుంది, సాధారణంగా కనెక్షన్ అక్కడే ఆగిపోతుంది. ఈ తనిఖీలలో ఏది విఫలమైందో చదవడమే మొత్తం నిర్ధారణ, దోష సందేశం మాత్రమే దీన్ని అరుదుగా చెబుతుంది.

తనిఖీ 1: సందేశాన్ని కాదు, దశను చదవండి

తిరస్కరణ మూడు చోట్ల నుండి రావచ్చు: క్లయింట్ సర్వర్ గుర్తింపును తిరస్కరించడం, గేట్వే క్లయింట్ రుజువును తిరస్కరించడం, మరియు బాహ్య ప్రామాణీకరణ సేవ ఖాతాను తిరస్కరించడం.

ప్రతిదీ వేరే యంత్రంలో వేరే లాగ్ లైన్ను ఉత్పత్తి చేస్తుంది, ప్రతిదానికీ వేరే పరిష్కారం ఉంది. క్లయింట్ వైపు నుండి సర్వర్ ధృవపత్రాన్ని తిరస్కరించడం క్లయింట్లో విశ్వాసం లేదా నామకరణ సమస్య; గేట్వే వైపు నుండి క్లయింట్ ధృవపత్రాన్ని తిరస్కరించడం గేట్వేలో విశ్వాస సమస్య; EAP వైఫల్యం ఖాతా లేదా బ్యాకెండ్ సమస్య. మీరు చూసే సందేశం సాధారణంగా వాటిలో ఒకదాని గురించి క్లయింట్ సారాంశం, అందుకే గేట్వే లాగ్ క్లయింట్ లాగ్తో సమానంగా ముఖ్యం.

తనిఖీ 2: ఏ గుర్తింపు తనిఖీ చేయబడింది

ఏదైనా వినియోగదారు ఆధారాలు అందించబడక ముందే క్లయింట్ సర్వర్ ధృవపత్రాన్ని లేదా ఆశించిన గుర్తింపును తిరస్కరించవచ్చు, పనిచేసే సర్వర్ చిరునామా ఆ తనిఖీకి ప్రత్యామ్నాయం కాదు. క్లయింట్ ఆశించే గుర్తింపుదారు గేట్వే ప్రదర్శించే దానితో సరిపోలాలి, ఇది నెట్వర్క్ వాస్తవం కాదు, కాన్ఫిగరేషన్ వాస్తవం.

strongSwan పదాలలో అది క్లయింట్లో rightid మరియు రెండో వైపు గేట్వే సొంత గుర్తింపు, EAP చర్చించబడక ముందే అసమతౌల్యం విఫలమవుతుంది.

గేట్వే విడిగా క్లయింట్ ధృవపత్రాన్ని, దాని కీ రుజువును లేదా దాని ఖాతా ప్రామాణీకరణను తిరస్కరించవచ్చు, ఈ మూడూ పరస్పరం మార్చుకోగలిగినవి కావు. వినియోగదారు పాస్వర్డ్ రీసెట్ చేయడం పరికర ధృవపత్రాన్ని పునరుద్ధరించదు, పరికర ధృవపత్రాన్ని మళ్లీ ఇన్స్టాల్ చేయడం తప్పు సర్వర్ గుర్తింపును సరిచేయదు. ధృవపత్ర వైఫల్యాలకు మొదట గడియారం, తర్వాత విశ్వాస గొలుసు, తర్వాత ఆశించిన గుర్తింపుదారు తనిఖీ చేయండి; కొన్ని నిమిషాలు భిన్నంగా ఉన్న గడియారం ఉన్న క్లయింట్ విశ్వాస వైఫల్యం లాగా కనిపించే చెల్లుబాటు తనిఖీలో విఫలమవుతుంది. swanctl --list-certs రెండు చివరలా ప్రతి వైపు నిజంగా ఏమి కలిగి ఉందో చూపిస్తుంది.

తనిఖీ 3: EAP పాల్గొంటే

క్లయింట్ మరియు సర్వర్ మద్దతు ఉన్న పద్ధతిపై అంగీకరించాలి, బ్యాకెండ్ అందించిన గుర్తింపును అంగీకరించాలి.

వినియోగదారు పేరుకు డొమైన్ ప్రత్యయం లేదా అమరిక కోరే నిర్దిష్ట ఖాతా ఆకృతి అవసరం కావచ్చు, ఆకృతి ఊహించదగినది కాదు, పత్రబద్ధం చేయబడింది. ఆపరేటర్ పత్రబద్ధ ఫీల్డ్లను అందించడం రకాలను ప్రయత్నించడం కంటే వేగంగా ఉంటుంది, రెండో సమస్యను కూడా నివారిస్తుంది: పునరావృత ప్రయత్నాలు ఖాతా లాక్అవుట్కు దారి తీయవచ్చు, అది తర్వాత అసలు దశను కొత్త వైఫల్యం వెనుక దాచుతుంది. పద్ధతి డైరెక్టరీకి వ్యతిరేకంగా EAP-MSCHAPv2 అయితే, వైఫల్యం VPNది కాదు, డైరెక్టరీది కావచ్చు.

గుర్తింపు తనిఖీలను నిలిపివేయడం ద్వారా గుర్తింపు సమస్యలను పరీక్షించవద్దు. అది నిర్ధారించగల వైఫల్యాన్ని నిర్ధారించలేనిదిగా మారుస్తుంది మరియు కనెక్షన్ను మునుపటి కంటే బలహీనంగా వదిలివేస్తుంది.

తనిఖీ 4: విజయవంతమైన లాగిన్ తర్వాత ఏమి జరుగుతుంది

IKE_AUTH పూర్తయిన తర్వాత, ఏ ట్రాఫిక్ ఎంపికకారులను ఇన్స్టాల్ చేయాలో CHILD_SA చర్చలు నిర్ణయిస్తుంది, అక్కడే కనెక్షన్ విజయవంతమైనా ఏమీ పంపకపోవచ్చు.

కొత్తగా పనిచేస్తున్న లాగిన్ మునుపు ప్రామాణీకరణ వైఫల్యం వెనుక దాగి ఉన్న ఎంపికకారు లేదా మార్గ సమస్యను తరచుగా బయటపెడుతుంది. టన్నెల్ పైకి వచ్చినా అప్లికేషన్ దాని గమ్యాన్ని చేరుకోకపోతే, మళ్లీ గుర్తింపు వైపు కాదు, చర్చించిన ఎంపికకారుల మరియు మార్గాల వైపు చూడండి. ఆ సమయంలో గుర్తింపు సెట్టింగ్లను మార్చడం తప్పు దశను లక్ష్యంగా చేసుకుంటుంది మరియు సాధారణంగా పనిచేస్తున్న లాగిన్ను పాడుచేస్తుంది. swanctl --list-sas తో నిర్ధారించండి, ఇది IKE SA నుండి విడిగా పిల్లలను మరియు వారి ఎంపికకారులను చూపిస్తుంది.

తనిఖీ 5: మద్దతుకు ఏమి ఇవ్వాలి

శుభ్రం చేసిన కాలక్రమం మరియు ఖచ్చితమైన తిరస్కరణ పూర్తి నిర్ధారణ ఎగుమతి కంటే విలువైనవి, ఎగుమతిలో మీరు పంచుకోకూడని ప్రైవేట్ కీలు లేదా ఆధారాలు ఉండవచ్చు.

సమయ క్షేత్రంతో సమయం, క్లయింట్ మరియు గేట్వే సంస్కరణలు, పద్ధతి, పాస్వర్డ్కు బదులుగా అందించిన గుర్తింపు స్ట్రింగ్, మరియు దాన్ని తిరస్కరించిన ఖచ్చితమైన దశను నమోదు చేయండి. strongSwan IKEv2 కాన్ఫిగరేషన్ పత్రం ఈ ఫలితాలను నిర్ణయించే గుర్తింపు మరియు EAP సెట్టింగ్లను వివరిస్తుంది, ఫీల్డ్ను మార్చే ముందు చదవవలసిన సూచన అదే. తర్వాత ఒక విషయాన్ని మార్చి కొత్త కనెక్షన్ను మళ్లీ పరీక్షించండి, ఎందుకంటే కాష్ చేసిన సెషన్ పాత కాన్ఫిగరేషన్ గురించి చెబుతుంది.