ఒక లోపం, మూడు రహస్యాలు: ఏ VPN ప్రమాణం విఫలమైంది?
ప్రతి దశకు క్లయింట్ ఒకే లోపాన్ని చూపుతుంది. ఎవరూ తనిఖీ చేయని పాస్‌వర్డ్‌ను రీసెట్ చేసే ముందు అనుబంధం, వినియోగదారు మార్పిడి మరియు పద్ధతిని చదవండి.
“ప్రామాణీకరణ విఫలమైంది” సర్వర్ సర్టిఫికేట్, మెషీన్ ముందస్తు పంచుకున్న కీ లేదా వినియోగదారు పాస్‌వర్డ్‌ను సూచించవచ్చు. ఏది అనేది ప్రోటోకాల్‌పై ఆధారపడి ఉంటుంది, ఎందుకంటే ప్రతి ప్రోటోకాల్ వేరే రహస్యాల సమితిని నిర్వచిస్తుంది. తప్పుదాన్ని రీసెట్ చేస్తే లోపం యథాతథంగా ఉంటుంది. ఏదైనా మార్చే ముందు ప్రోటోకాల్ ఎన్ని రుజువులు కోరుతుందో నిర్ధారించడమే మార్గం.
వ్యతిరేక దిశలను సూచించే రెండు రుజువులు
ఒక సొరంగం సరైన గేట్‌వేను చేరిందా అని, మరియు విడిగా వినియోగదారు ఎవరు అని సమాధానం చెప్పాలి. గేట్‌వే రుజువు మెషీన్ స్థాయిలో ఉంటుంది: సర్వర్ సర్టిఫికేట్, ముందస్తు పంచుకున్న కీ లేదా స్థిర పబ్లిక్ కీ. వినియోగదారు రుజువు వ్యక్తి స్థాయిలో ఉంటుంది: పాస్‌వర్డ్, టోకెన్, క్లయింట్ సర్టిఫికేట్, లేదా ఏమీ లేదు. అవి విశ్వాసానికి వ్యతిరేక దిశలు, వేరే పదార్థాన్ని వినియోగిస్తాయి.
IKEv2 గేట్‌వే రుజువును IKE_AUTH లోపల నిర్వహిస్తుంది, EAP ఉపయోగించినప్పుడు వినియోగదారు రుజువును తర్వాత ప్రత్యేక మార్పిడిలో నడుపుతుంది. IKEv2 వివరణ వాటిని వేర్వేరు విభాగాలుగా ఉంచుతుంది, ఒక సందేశం రెండు రౌండ్లను కవర్ చేసినప్పుడు ఎక్కడ చూడాలో ఇది బలమైన సూచన.
దశను చదవండి, సందేశాన్ని కాదు
ఏ దశ విఫలమైనా క్లయింట్ అదే లోపం స్ట్రింగ్‌ను చూపుతుంది, కాబట్టి స్ట్రింగ్ దాదాపు ఎలాంటి సమాచారాన్ని ఇవ్వదు. సమాచారం ఇచ్చేది ప్రతి దశలో పరిశీలించగల స్థితి: అనుబంధం ఉందా, వినియోగదారు మార్పిడి ప్రారంభమైందా, గేట్‌వే కోరిన పద్ధతిని క్లయింట్ అందించిందా అనేది. పట్టిక దశలను ప్రోటోకాల్ పేరుతో కాకుండా ఆ విధంగా క్రమబద్ధీకరిస్తుంది.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
రెండవ వరుస మాత్రమే వినియోగదారు తిరిగి టైప్ చేయగల ప్రమాణానికి సంబంధించినది. మిగిలిన మూడు కాన్ఫిగరేషన్ వాస్తవాలు, ఆ అసమతుల్యత వల్లనే ఇలాంటి నివేదికలు ఏమీ మార్చని పాస్‌వర్డ్ రీసెట్‌లో ముగుస్తాయి. ఏ ఫీల్డ్‌నూ తాకే ముందు మీ రుజువులకు సరిపోయే వరుసను చదవండి.
రెండు రహస్యాల ప్రోటోకాల్ తన చేతిని చూపుతుంది
L2TP over IPsec గణనను కనిపించేలా చేస్తుంది, ఎందుకంటే రెండు తనిఖీలు వేరే ప్రక్రియల్లో జరుగుతాయి. IPsec పొర మొదట ముందస్తు పంచుకున్న కీ లేదా సర్టిఫికేట్‌తో పైకి రావాలి, ఆ తర్వాతే దాని లోపలి PPP వినియోగదారు లాగిన్‌ను ప్రయత్నిస్తుంది.
మెషీన్ రహస్యం తప్పు అయినప్పుడు ఎలాంటి అనుబంధం ఏర్పడదు, వినియోగదారు ప్రమాణం ఎప్పటికీ ప్రయత్నించబడదు. మెషీన్ రహస్యం సరైనది, వినియోగదారు రహస్యం తప్పు అయినప్పుడు అనుబంధం ఉంటుంది, సొరంగం ఇప్పటికే పైకి వచ్చాక PPP లాగిన్‌ను తిరస్కరిస్తుంది. రెండూ రెండు వేరే సంఘటనల నుండి తెరపై ఒకే సందేశాన్ని ఇస్తాయి.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerఖాళీ అనుబంధాల జాబితా వినియోగదారు పొరను వెంటనే తొలగిస్తుంది, కాబట్టి పాస్‌వర్డ్‌కు ముందు దాన్ని తనిఖీ చేయండి. పునరావృత PPP వైఫల్యాలతో స్థాపించిన అనుబంధం మరో దిశకు, అంటే వినియోగదారు పొర లేదా దాని లోపలి ప్రామాణీకరణ ప్రోటోకాల్‌కు సూచిస్తుంది. ఏ నిర్ణయమూ క్లయింట్ లోపం వచనం నుండి అందుబాటులో లేదు.
పాస్‌వర్డ్-మాత్రమే వాస్తవంగా ఏమి ఆధారపడి ఉంటుంది
L2TP, PPTP, SSTP మరియు EAP ఉన్న IKEv2 కు పాస్‌వర్డ్-మాత్రమే ప్రాప్యత సాధారణం. WireGuard కు అలాంటి ఎంపిక అసలు లేదు, ఎందుకంటే దాని సహచరులు వినియోగదారులు కాదు, కీలు. OpenVPN కు సమాధానం సర్వర్ క్లయింట్-సర్టిఫికేట్ అవసరం నుండి వస్తుంది: సర్టిఫికేట్ మరియు పాస్‌వర్డ్ రెండూ కోరే గేట్‌వే ఫీల్డ్‌లో ఏమి టైప్ చేసినా పాస్‌వర్డ్-మాత్రమే క్లయింట్‌ను తిరస్కరిస్తూనే ఉంటుంది.
మీకు ఏ భాగం కావాలో అదే సమాధానం నుండి వస్తుంది. IKEv2 కింద పాస్‌వర్డ్ లాగిన్‌కు EAP మాట్లాడే క్లయింట్ కావాలి, సర్టిఫికేట్ లాగిన్‌కు క్లయింట్ ప్రైవేట్ కీ మరియు సర్వర్ గొలుసు కావాలి. తప్పుదాన్ని ఇన్‌స్టాల్ చేస్తే ప్రామాణీకరణ పద్ధతి లేకపోయినా వైఫల్యం ప్రమాణ లోపంగా చదవబడుతుంది.
ఒకటి మార్చి, తర్వాత మళ్లీ పరీక్షించండి
మొదట మూడు వాస్తవాలను నిర్ధారించండి: ఏ ప్రోటోకాల్ నడుస్తోంది, అది ఎన్ని రహస్యాలను నిర్వచిస్తుంది, వాటిలో ఏవి వినియోగదారుకు కాక మెషీన్‌కు చెందినవి. మెషీన్లు మొదటి దశలో, మనుషులు రెండవ దశలో విఫలమవుతారు, ఈ రెండింటిని కలపడమే ఈ మొత్తం సమస్య.
తర్వాత సరిగ్గా ఒకటి మార్చి అదే క్లయింట్ నుండి మళ్లీ పరీక్షించండి. ఆ క్రమశిక్షణ గందరగోళకరమైన వైఫల్యాన్ని తదుపరి వ్యక్తికి వివరించగల సవరణగా మారుస్తుంది, ఎవరూ వివరించలేని పనిచేసే కనెక్షన్ కంటే ఇది ఉపయోగకరం.