รหัสลับร่วมหรือการเข้าสู่ระบบผู้ใช้: ฟิลด์ L2TP/IPsec ใดล้มเหลว?
คีย์ที่แชร์ล่วงหน้าพิสูจน์ฝ่ายตรงข้าม ขณะที่ชื่อผู้ใช้และรหัสผ่าน PPP พิสูจน์ตัวบุคคล รหัสข้อผิดพลาดบอกว่าชั้นใดในสองชั้นเสียหาย
สำนักงานหนึ่งแห่งสามารถมอบความลับ IPsec เดียวกันให้แล็ปท็อปทุกเครื่องได้ ในขณะที่แต่ละคนยังเข้าสู่ระบบด้วยบัญชีของตนเอง นั่นคือเหตุผลที่ «คีย์ถูกต้อง» และ «รหัสผ่านถูกต้อง» เป็นจริงทั้งคู่ได้ แต่การเข้าสู่ระบบก็ยังล้มเหลว L2TP และ IPsec พิสูจน์ตัวตนฝ่ายต่างๆ ในขั้นตอนที่ต่างกัน การเปรียบเทียบสองชั้นและรหัสข้อผิดพลาดที่แยกทั้งสองออกจากกันช่วยปิดตั๋วเหล่านี้ได้เร็วกว่าการสลับค่าทั้งสองอีกรอบ ขั้นตอนไม่สามารถใช้แทนกันได้ และข้อความตรงหน้าคุณก็บอกอยู่แล้วว่าขั้นตอนใดกำลังทำงาน
สองชั้น สองตัวตนที่ต่างกัน
IPsec จะพิสูจน์ตัวตนฝ่ายตรงข้ามก่อน ไคลเอนต์และเกตเวย์พิสูจน์ต่อกันว่าตนเป็นใครด้วยคีย์ที่แชร์ล่วงหน้าหรือใบรับรอง ก่อนที่เพย์โหลดของอุโมงค์ใดจะได้รับการปกป้อง การแลกเปลี่ยน PPP ภายในเซสชัน L2TP เกิดขึ้นภายหลัง และที่นั่นเองที่ชื่อผู้ใช้และรหัสผ่านของคุณถูกตรวจสอบกับที่เก็บบัญชีของเซิร์ฟเวอร์
ขั้นตอนเป็นอิสระต่อกัน ดังนั้น บัญชีผู้ใช้ที่ถูกต้องช่วยคีย์ IPsec ที่ผิดไม่ได้ และคีย์ที่ถูกต้องก็ช่วยรหัสผ่านที่หมดอายุไม่ได้ บันทึกทั้งสองแยกกันในตั๋ว และการวินิจฉัยมักออกมาจากบรรทัดล็อกแรกที่ระบุขั้นตอน
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
รหัสลับร่วมพิสูจน์ฝ่ายตรงข้าม
คีย์ที่แชร์ล่วงหน้าเป็นข้อมูลรับรองระดับกลุ่มที่เกตเวย์และไคลเอนต์ทุกตัวที่เชื่อมต่อถืออยู่ มันยืนยันว่าฝ่ายตรงข้ามรู้คีย์ และ IKE จะสร้างคีย์ที่ปกป้องการเชื่อมต่อจากคีย์นั้น ไม่มีสิ่งใดในการแลกเปลี่ยนนั้นระบุตัวมนุษย์ที่อยู่หน้าแป้นพิมพ์ นี่คือเหตุผลทั้งหมดที่การเข้าสู่ระบบระดับผู้ใช้รอบที่สองมีอยู่ในอุโมงค์เดียวกัน
การออกแบบนั้นมีผลในทางปฏิบัติต่อการเพิกถอน การสูญหายแล็ปท็อปหนึ่งเครื่องหมายถึงการหมุนความลับสำหรับทุกอุปกรณ์ที่ใช้มัน เว้นแต่การติดตั้งจะย้ายไปใช้ใบรับรอง ซึ่งสามารถถอดอุปกรณ์เพียงเครื่องเดียวโดยไม่แตะเครื่องที่เหลือ สิ่งที่แลกมาคือภาระงานธุรการกับขอบเขตความเสียหาย
คีย์ที่พิมพ์ลงในโปรไฟล์ยังเป็นข้อมูลรับรองที่รั่วไหลง่ายที่สุดผ่านภาพหน้าจอและการแชต มองมันเป็นวัสดุโครงสร้างพื้นฐานที่ใช้ร่วมกัน ไม่ใช่รหัสผ่านส่วนตัว เพราะนั่นคือสิ่งที่มันเป็นจริงๆ
การเข้าสู่ระบบเป็นของ PPP
ภายในเซสชัน L2TP นั้น PPP เจรจาการพิสูจน์ตัวตนและขอให้เซิร์ฟเวอร์ตรวจสอบค่าทั้งสองที่คุณพิมพ์ บน Windows นั่นคือชื่อผู้ใช้และรหัสผ่านเดียวกับที่โปรไฟล์ขอ และบนเราเตอร์คือสิ่งที่โปรไฟล์ PPP อ้างถึง การตรวจสอบทำกับที่เก็บบัญชี ไม่ใช่กับคีย์ สองคนสามารถใช้แล็ปท็อปและคีย์ร่วมกันได้ แต่ก็ยังแยกออกจากกันได้ในขั้นตอนนี้
เนื่องจากการพิสูจน์ตัวตนผู้ใช้ นโยบายบัญชีปกติทั้งหมดจึงมีผล ได้แก่ รหัสผ่านหมดอายุ บัญชีถูกล็อก สิทธิ์การโทรเข้า หรือชื่อที่ต้องมีโดเมน ข้อผิดพลาด 691 รายงานว่าชุดนั้นถูกปฏิเสธ จึงอ่านบันทึกทางบัญชีของเซิร์ฟเวอร์ก่อนพิมพ์อะไรใหม่
ให้ข้อผิดพลาดเป็นผู้เลือกฟิลด์
ข้อผิดพลาด 789 ระบุชั้นความปลอดภัยและชี้ไปที่ขั้นตอน IPsec ยืนยันว่าคีย์ที่แชร์ล่วงหน้าทั้งสองฝั่งตรงกันทุกประการ ตัวตนฝ่ายตรงข้ามที่เกตเวย์คาดหวังตรงกับสิ่งที่ไคลเอนต์ส่งไป และไคลเอนต์ถูกกำหนดค่าสำหรับ L2TP/IPsec ไม่ใช่ชนิดอื่น
ข้อผิดพลาด 691 ระบุข้อมูลรับรองและชี้ไปที่ PPP ตรวจสอบสถานะบัญชีและรูปแบบชื่อที่แน่นอนก่อนเปลี่ยนความลับ เพราะการเปลี่ยนทั้งสองอย่างพร้อมกันจะทำลายหลักฐานที่คุณกำลังอ่าน
เมื่ออุโมงค์ขึ้นแล้วแต่ทราฟฟิกยังหยุด ให้หยุดแก้ไขฟิลด์การพิสูจน์ตัวตนโดยสิ้นเชิง ดูกุลุ่มที่อยู่ เส้นทางกลับไปยังซับเน็ตของไคลเอนต์ และ MTU การเปรียบเทียบสองชั้นช่วยได้เพียงตราบเท่าที่ความล้มเหลวยังอยู่ภายในทั้งสองชั้นนั้น