Paylaşılan Gizli Anahtar mı Kullanıcı Girişi mi: Hangi L2TP/IPsec Alanı Başarısız Oldu?
Önceden paylaşılan anahtar eşi kanıtlar, PPP kullanıcı adı ve parolası ise kişiyi. Hata kodu iki katmandan hangisinin bozulduğunu söyler.
Bir ofis her dizüstü bilgisayara aynı IPsec sırrını verebilir, herkes yine de kendi hesabıyla oturum açar; bu yüzden «anahtar doğru» ve «parola doğru» aynı anda geçerli olabilir ama oturum yine de başarısız olur. L2TP ve IPsec farklı aşamalarda farklı tarafları doğrular. İki katmanın karşılaştırılması ve onları ayıran hata kodu, bu kayıtların çoğunu iki değeri yeniden değiştirmekten daha hızlı kapatır. Aşamalar birbirinin yerine geçmez ve önünüzdeki mesaj hangisinin devrede olduğunu zaten söyler.
İki katman, iki farklı kimlik
Önce IPsec eş doğrulaması çalışır. İstemci ve ağ geçidi, herhangi bir tünel yükü korunmadan önce önceden paylaşılan anahtar veya sertifika ile birbirlerine kim olduklarını kanıtlar. L2TP oturumu içindeki PPP alışverişi daha sonra gelir ve kullanıcı adınızla parolanız tam orada sunucunun hesap deposuna karşı denetlenir.
Aşamalar bağımsızdır, bu yüzden geçerli bir kullanıcı hesabı yanlış bir IPsec anahtarını kurtaramaz, doğru bir anahtar da süresi geçmiş parolayı kurtaramaz. İkisini kayda ayrı ayrı yazın; tanı genellikle bir aşamayı adlandıran ilk günlük satırından çıkar.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Paylaşılan gizli anahtar eşi kanıtlar
Önceden paylaşılan anahtar, ağ geçidinin ve ona bağlanan her istemcinin sahip olduğu grup kimlik bilgisidir. Eşin anahtarı bildiğini tesis eder ve IKE ondan bağlantıyı koruyan anahtarları türetir. Bu alışverişte hiçbir şey klavyedeki insanı tanımlamaz. Aynı tünelde ikinci, kullanıcı düzeyinde bir girişin bulunmasının tek nedeni budur.
Bu tasarımın iptal için pratik bir sonucu vardır. Bir dizüstü bilgisayarın kaybedilmesi, onu kullanan her cihaz için sırrın döndürülmesi demektir; dağıtım sertifikalara geçmedikçe, orada tek bir cihaz diğerlerine dokunmadan kaldırılabilir. Değiş tokuş, idari çaba ile hasarın kapsamı arasındadır.
Bir profile yazılan anahtar, ekran görüntüleri ve sohbet yoluyla en kolay sızan kimlik bilgisidir. Ona kişisel parola değil, paylaşılan altyapı malzemesi olarak davranın, çünkü tam olarak odur.
Giriş PPP'ye aittir
L2TP oturumu içinde PPP doğrulamayı müzakere eder ve sunucudan yazdığınız değer çiftini doğrulamasını ister. Windows'ta bunlar profilin istediği aynı kullanıcı adı ve paroladır, bir yönlendiricide ise PPP profilinin başvurduğu şeydir. Hesap deposuna karşı denetlenir, anahtara karşı değil. İki kişi bir dizüstü bilgisayarı ve anahtarı paylaşabilir ve yine de bu aşamada birbirinden ayırt edilir.
Kullanıcı doğrulaması olduğu için tüm olağan hesap politikaları geçerlidir: süresi geçmiş parola, kilitli hesap, arama izni veya etki alanı taşıması gereken bir ad. Hata 691 bu birleşimi reddedilmiş olarak bildirir; bu yüzden bir şeyi yeniden yazmadan önce sunucunun muhasebe kaydını okuyun.
Alanı hata seçsin
Hata 789 güvenlik katmanını adlandırır ve IPsec aşamasını işaret eder. Önceden paylaşılan anahtarın iki tarafta tam olarak eşleştiğini, ağ geçidinin beklediği eş kimliğinin istemcinin gönderdiğiyle uyuştuğunu ve istemcinin başka bir tür için değil L2TP/IPsec için yapılandırıldığını doğrulayın.
Hata 691 kimlik bilgilerini adlandırır ve PPP'yi işaret eder. Sırrı değiştirmeden önce hesabın durumunu ve adın tam biçimini denetleyin, çünkü ikisini birden değiştirmek okuduğunuz kanıtı yok eder.
Tünel açılıp trafik yine de durduğunda, doğrulama alanlarını düzenlemeyi tamamen bırakın. Adres havuzuna, istemci alt ağına dönüş yoluna ve MTU'ya bakın: iki katmanın karşılaştırılması yalnızca arıza hâlâ onların içindeyken yardımcı olur.