Pinagsasaluhang Sikreto o Pag-login ng Gumagamit: Aling Field ng L2TP/IPsec ang Nabigo?
Ang paunang ibinahaging susi ay nagpapatunay sa kapareha, samantalang ang username at password ng PPP ang nagpapatunay sa tao. Sinasabi ng error code kung alin sa dalawang layer ang nasira.
Maaaring ibigay ng isang opisina ang parehong sikreto ng IPsec sa bawat laptop habang ang bawat tao ay nag-login pa rin gamit ang sariling account, at iyon ang dahilan kung bakit ang «tama ang susi» at «tama ang password» ay maaaring parehong totoo at ang pag-login ay nabibigo pa rin. Ang L2TP at IPsec ay nagpapatunay ng magkaibang partido sa magkaibang yugto. Ang paghahambing ng dalawang layer, at ang error code na naghihiwalay sa kanila, ay nagsasara sa karamihan ng mga ticket na ito nang mas mabilis kaysa sa muling pagpapalit ng dalawang halaga. Ang mga yugto ay hindi mapagpapalit, at ang mensaheng nasa harap mo ay nagsasabi na kung alin ang gumagana.
Dalawang layer, dalawang magkaibang pagkakakilanlan
Uuna ang pagpapatunay ng kapareha ng IPsec. Pinatutunayan ng kliyente at gateway sa isa't isa kung sino sila, gamit ang paunang ibinahaging susi o sertipiko, bago protektahan ang anumang payload ng tunnel. Kasunod ang palitan ng PPP sa loob ng sesyon ng L2TP, at doon mismo sinusuri ang username at password mo laban sa imbakan ng account ng server.
Malaya ang mga yugto, kaya hindi maililigtas ng isang wastong account ng gumagamit ang maling susi ng IPsec, at ang tamang susi ay hindi makapagliligtas ng nag-expire na password. Isulat ang dalawa nang hiwalay sa ticket at kadalasang lumalabas ang diagnosis mula sa unang linya ng log na nagpangalan ng yugto.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Ang pinagsasaluhang sikreto ay nagpapatunay sa kapareha
Ang paunang ibinahaging susi ay isang kredensyal ng grupo na hawak ng gateway at ng bawat kliyenteng kumokonekta rito. Pinatutunayan nito na alam ng kapareha ang susi, at mula rito ay hinango ng IKE ang mga susi na nagpoprotekta sa koneksyon. Walang anuman sa palitan na iyon ang kumikilala sa taong nasa keyboard. Iyon ang buong dahilan kung bakit may pangalawang pag-login, sa antas ng gumagamit, sa loob ng parehong tunnel.
May praktikal na kahihinatnan ang disenyong iyon para sa pagpapawalang-bisa. Ang mawala ang isang laptop ay nangangahulugang paikutin ang sikreto para sa bawat device na gumagamit nito, maliban kung lilipat ang deployment sa mga sertipiko, kung saan maaaring alisin ang isang device nang hindi hinahawakan ang iba. Ang kapalit ay pagsisikap na pang-administratibo laban sa lawak ng pinsala.
Ang susi na itinatype sa isang profile ay ang pinakamadaling kredensyal na tumagas sa pamamagitan ng mga screenshot at chat. Ituring ito bilang pinagsasaluhang materyal ng imprastruktura at hindi bilang personal na password, dahil iyon talaga ito.
Ang pag-login ay pag-aari ng PPP
Sa loob ng sesyon ng L2TP, nakikipagnegosasyon ang PPP sa pagpapatunay at hihilingin sa server na i-verify ang pares ng halagang itinype mo. Sa Windows, iyon ang parehong username at password na hinihiling ng profile, at sa router, iyon ang tinutukoy ng profile ng PPP. Sinusuri ito laban sa imbakan ng account, hindi laban sa susi. Maaaring maghati ng laptop at susi ang dalawang tao at makikilala pa rin silang magkaiba sa yugtong ito.
Dahil pagpapatunay ito ng gumagamit, nalalapat ang lahat ng karaniwang patakaran ng account: nag-expire na password, naka-lock na account, pahintulot sa dial-in, o pangalang kailangang may domain. Iniulat ng error 691 ang kumbinasyong iyon bilang tinanggihan, kaya basahin ang talaan ng accounting ng server bago mag-type muli ng anuman.
Hayaang piliin ng error ang field
Pinapangalanan ng error 789 ang layer ng seguridad at itinuturo ang yugto ng IPsec. Kumpirmahin na ang paunang ibinahaging susi sa magkabilang panig ay eksaktong magkatugma, na ang pagkakakilanlan ng kapareha na inaasahan ng gateway ay tugma sa ipinapadala ng kliyente, at na ang kliyente ay naka-configure para sa L2TP/IPsec at hindi sa ibang uri.
Pinapangalanan ng error 691 ang mga kredensyal at itinuturo ang PPP. Suriin ang kalagayan ng account at ang eksaktong format ng pangalan bago baguhin ang sikreto, dahil ang pagbabago ng pareho nang sabay ay sumisira sa ebidensyang binabasa mo.
Kapag umangat ang tunnel at huminto pa rin ang trapiko, tuluyang itigil ang pag-edit ng mga field ng pagpapatunay. Tingnan ang pool ng address, ang ruta pabalik sa subnet ng kliyente, at ang MTU: ang paghahambing ng dalawang layer ay nakakatulong lamang habang nasa loob pa nila ang sira.