Isang error, tatlong lihim: aling VPN credential ang nabigo?
Isang error lang ang ipinapakita ng client para sa bawat yugto. Basahin ang asosasyon, ang palitan ng user at ang paraan bago i-reset ang password na walang sinumang tumingin.
“Nabigo ang authentication” ay maaaring tumukoy sa server certificate, sa pre-shared key ng makina, o sa password ng user. Alin sa mga ito ang ibig sabihin ay depende sa protocol, dahil bawat protocol ay may ibang set ng lihim. I-reset ang mali at mananatiling pareho ang error. Ang paraan ay alamin muna kung ilang patunay ang kailangan ng protocol bago baguhin ang anuman.
Dalawang patunay na magkasalungat ang direksyon
Kailangang sagutin ng tunnel kung naabot nito ang tamang gateway, at hiwalay, kung sino ang user. Ang patunay ng gateway ay nasa antas ng makina: isang server certificate, isang pre-shared key o isang static na public key. Ang patunay ng user ay nasa antas ng tao: isang password, isang token, isang client certificate, o wala. Magkasalungat ang mga direksyon ng pagtitiwala at iba ang ginagamit na materyal.
Isinasagawa ng IKEv2 ang patunay ng gateway sa loob ng IKE_AUTH at, kapag ginagamit ang EAP, pinapatakbo ang patunay ng user sa hiwalay na palitan pagkatapos. espesipikasyon ng IKEv2 ay naglalagay sa kanila bilang magkahiwalay na seksyon, na isang malakas na hiwatig kung saan titingin kapag ang isang mensahe ay sumasaklaw sa dalawang round.
Basahin ang yugto, hindi ang mensahe
Isang error string lang ang ipinapakita ng client kahit aling yugto ang nabigo, kaya halos walang impormasyong dala ang string mismo. Ang may impormasyon ay ang estado na masusuri sa bawat yugto: kung may asosasyon, kung nagsimula ang palitan ng user, at kung inalok ng client ang paraang gusto ng gateway. Ang talahanayan ay nag-uuri ng mga yugto sa ganoong paraan, hindi ayon sa pangalan ng protocol.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Ang ikalawang hanay lamang ang tungkol sa credential na maaaring i-type muli ng user. Ang tatlo ay mga katotohanan ng configuration, at ang mismatch na iyon ang dahilan kung bakit marami sa mga ulat na ito ay nagtatapos sa pag-reset ng password na walang binabago. Basahin ang hanay na tugma sa iyong ebidensya bago hawakan ang isang field.
Ang protocol na may dalawang lihim ay nagpapakita ng kamay
L2TP sa ibabaw ng IPsec ay ginagawang nakikita ang bilang, dahil nagaganap ang dalawang pagsusuri sa magkaibang proseso. Kailangang umangat muna ang IPsec layer gamit ang pre-shared key o certificate, at saka pa lamang susubukan ng PPP sa loob nito ang login ng user.
Kapag mali ang lihim ng makina, walang asosasyon na nabubuo at hindi kailanman sinusubukan ang credential ng user. Kapag tama ang lihim ng makina at mali ang lihim ng user, umiiral ang asosasyon at tinatanggihan ng PPP ang login pagkatapos nang umangat ang tunnel. Pareho silang naglalabas ng parehong mensahe sa screen mula sa dalawang magkaibang pangyayari.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerAng walang laman na listahan ng asosasyon ay agad na nag-aalis sa user layer, kaya suriin ito bago ang password. Ang naitatag na asosasyon na may paulit-ulit na pagkabigo ng PPP ay tumuturo sa kabilang direksyon, sa user layer o sa authentication protocol sa loob nito. Wala sa mga konklusyong ito ang makukuha mula sa teksto ng error ng client.
Ano ba talaga ang pinagbabatayan ng password-only
Ang password-only na pag-access ay karaniwan para sa L2TP, PPTP, SSTP at IKEv2 na may EAP. Ang WireGuard ay walang ganoong opsyon, dahil ang mga peer nito ay mga key at hindi mga user. Para sa OpenVPN ang sagot ay nagmumula sa pangangailangan ng server ng client certificate: ang gateway na humihingi ng certificate at password ay patuloy na tatanggihan ang password-only na client, anuman ang ititipa sa field.
Kung aling component ang kailangan mo ay sumusunod sa parehong sagot. Ang password login sa ilalim ng IKEv2 ay nangangailangan ng client na nagsasalita ng EAP, samantalang ang certificate login ay nangangailangan ng private key ng client at ng chain ng server. I-install ang mali at ang kabiguan ay mababasa na parang error sa credential, kahit ang paraan ng authentication mismo ang kulang.
Baguhin ang isang bagay, pagkatapos ay muling subukan
Alamin muna ang tatlong katotohanan: aling protocol ang tumatakbo, ilang lihim ang tinutukoy nito, at alin sa mga ito ang pag-aari ng makina at hindi ng user. Nabibigo ang mga makina sa unang yugto at ang mga tao sa ikalawa, at ang paghahalo sa dalawang ito ay ang buong problemang ito.
Pagkatapos ay baguhin ang eksaktong isang bagay at muling subukan mula sa parehong client. Ginagawang isang pagtatama na maipapaliwanag mo sa susunod na tao ang nakalilitong kabiguan, na mas kapaki-pakinabang kaysa gumaganang koneksyon na walang makapagpapaliwanag.