Tek hata, üç sır: hangi VPN kimlik bilgisi başarısız oldu?
İstemci her aşama için tek bir hata gösterir. Kimsenin kontrol etmediği bir parolayı sıfırlamadan önce ilişkiyi, kullanıcı alışverişini ve yöntemi okuyun.
“Kimlik doğrulama başarısız oldu” bir sunucu sertifikasına, makinenin önceden paylaşılan anahtarına veya bir kullanıcı parolasına işaret edebilir. Hangisinin kastedildiği protokole bağlıdır, çünkü her protokol farklı bir sır kümesi tanımlar. Yanlış olanı sıfırlarsanız hata değişmeden kalır. Çıkış yolu, herhangi bir şeyi düzenlemeden önce protokolün kaç kanıt istediğini belirlemektir.
Zıt yönleri gösteren iki kanıt
Bir tünel doğru ağ geçidine ulaşıp ulaşmadığını ve ayrıca kullanıcının kim olduğunu yanıtlamak zorundadır. Ağ geçidi kanıtı makine düzeyindedir: bir sunucu sertifikası, önceden paylaşılan bir anahtar veya statik bir genel anahtar. Kullanıcı kanıtı kişi düzeyindedir: bir parola, bir jeton, bir istemci sertifikası ya da hiçbir şey. Bunlar zıt güven yönleridir ve farklı malzeme tüketirler.
IKEv2 ağ geçidi kanıtını IKE_AUTH içinde gerçekleştirir ve EAP kullanıldığında kullanıcı kanıtını ardından ayrı bir alışverişte çalıştırır. IKEv2 belirtimi bunları ayrı bölümler olarak tutar; bu, tek bir mesaj iki turu da kapsadığında nereye bakılacağına dair güçlü bir ipucudur.
Mesajı değil, aşamayı okuyun
İstemci hangi aşamanın başarısız olduğuna bakmaksızın aynı hata dizesini gösterir, bu yüzden dizenin kendisi neredeyse hiç bilgi taşımaz. Bilgi taşıyan şey her aşamada inceleyebileceğiniz durumdur: bir ilişkinin var olup olmadığı, bir kullanıcı alışverişinin başlayıp başlamadığı ve istemcinin ağ geçidinin istediği yöntemi sunup sunmadığı. Tablo aşamaları protokol adına göre değil, bu şekilde sıralar.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Yalnızca ikinci satır kullanıcının yeniden yazabileceği bir kimlik bilgisiyle ilgilidir. Diğer üçü yapılandırma olgusudur ve bu uyuşmazlık bu raporların çoğunun hiçbir şeyi değiştirmeyen bir parola sıfırlamayla bitmesinin nedenidir. Bir alana dokunmadan önce kanıtlarınıza uyan satırı okuyun.
İki sırlı bir protokol elini gösterir
L2TP IPsec üzerinde sayıyı görünür kılar, çünkü iki denetim farklı süreçlerde gerçekleşir. IPsec katmanı önce önceden paylaşılan bir anahtar veya sertifikayla ayağa kalkmalıdır ve ancak ondan sonra içindeki PPP bir kullanıcı oturumu açmayı dener.
Makine sırrı yanlış olduğunda hiçbir ilişki oluşmaz ve kullanıcı kimlik bilgisi hiç denenmez. Makine sırrı doğru, kullanıcı sırrı yanlış olduğunda ilişki vardır ve tünel zaten ayaktayken PPP oturumu reddeder. İkisi de ekranda aynı mesajı iki farklı olaydan üretir.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerBoş bir ilişki listesi kullanıcı katmanını hemen eler, bu yüzden paroladan önce onu kontrol edin. Yinelenen PPP hatalarıyla kurulmuş bir ilişki diğer yönü, yani kullanıcı katmanını veya içindeki kimlik doğrulama protokolünü işaret eder. Bu sonuçların hiçbiri istemcinin hata metninden elde edilemez.
Yalnızca parola erişimi gerçekte neye bağlıdır
Yalnızca parolayla erişim L2TP, PPTP, SSTP ve EAP ile IKEv2 için olağandır. WireGuard'da böyle bir seçenek hiç yoktur, çünkü eşleri kullanıcı değil anahtardır. OpenVPN için yanıt sunucunun istemci sertifikası gereksiniminden gelir: hem sertifika hem parola isteyen bir ağ geçidi, alana ne yazılırsa yazılsın yalnızca parola kullanan istemciyi reddetmeye devam eder.
Hangi bileşene ihtiyacınız olduğu aynı yanıttan çıkar. IKEv2 altında parola oturumu EAP konuşan bir istemci gerektirirken sertifika oturumu istemcinin özel anahtarını ve sunucunun zincirini gerektirir. Yanlış olanı kurarsanız, kimlik doğrulama yönteminin kendisi eksik olsa da hata bir kimlik bilgisi hatası gibi okunur.
Tek bir şeyi değiştirin, sonra yeniden test edin
Önce üç olguyu belirleyin: hangi protokol çalışıyor, kaç sır tanımlıyor ve bunlardan hangileri kullanıcıya değil makineye ait. Makineler ilk aşamada, insanlar ikinci aşamada başarısız olur ve bu ikisini karıştırmak bu sorunun tamamıdır.
Ardından tam olarak tek bir şeyi değiştirin ve aynı istemciden yeniden test edin. Bu disiplin, kafa karıştıran bir hatayı bir sonraki kişiye anlatabileceğiniz bir düzeltmeye dönüştürür; bu, kimsenin açıklayamadığı çalışan bir bağlantıdan daha faydalıdır.