Спільний секрет чи вхід користувача: яке поле L2TP/IPsec не спрацювало?
Попередньо спільний ключ доводить партнера, а ім’я користувача та пароль PPP — людину. Код помилки каже, який із двох рівнів зламався.
Один офіс може видати той самий секрет IPsec кожному ноутбуку, хоч кожна людина все одно входить під власним обліковим записом, і саме тому «ключ правильний» і «пароль правильний» можуть бути істинними одночасно, а вхід усе одно не проходить. L2TP і IPsec засвідчують різні сторони на різних етапах. Порівняння двох рівнів і код помилки, що їх розділяє, закривають більшість таких звернень швидше, ніж чергова заміна обох значень. Етапи не взаємозамінні, і повідомлення перед вами вже каже, який із них у грі.
Два рівні, дві різні особи
Спочатку виконується засвідчення партнера в IPsec. Клієнт і шлюз доводять одне одному, хто вони, за допомогою попередньо спільного ключа або сертифіката, перш ніж захищається будь-яке корисне навантаження тунелю. Обмін PPP усередині сеансу L2TP іде після, і саме там ваші ім’я користувача й пароль перевіряються за сховищем облікових записів сервера.
Етапи незалежні, тому дійсний обліковий запис користувача не врятує неправильний ключ IPsec, а правильний ключ не врятує прострочений пароль. Запишіть обидва окремо у зверненні, і діагноз зазвичай випадає з першого рядка журналу, де названо етап.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Спільний секрет доводить партнера
Попередньо спільний ключ — це групове посвідчення, яке мають шлюз і кожен клієнт, що до нього підключається. Він установлює, що партнер знає ключ, і з нього IKE виводить ключі, які захищають з’єднання. Ніщо в цьому обміні не ідентифікує людину за клавіатурою. Саме тому в тому самому тунелі існує другий вхід на рівні користувача.
Таке рішення має практичний наслідок для відкликання. Втрата одного ноутбука означає зміну секрету для кожного пристрою, що ним користується, якщо тільки розгортання не переходить на сертифікати, де один пристрій можна вилучити, не чіпаючи інші. Обмін — це адміністративні зусилля проти масштабу шкоди.
Ключ, вписаний у профіль, ще й найлегше витікає через скриншоти й чати. Ставтеся до нього як до спільного інфраструктурного матеріалу, а не як до особистого пароля, бо саме ним він і є.
Вхід належить PPP
Усередині сеансу L2TP PPP узгоджує засвідчення і просить сервер перевірити пару значень, яку ви ввели. У Windows це ті самі ім’я користувача й пароль, які запитує профіль, а на маршрутизаторі — те, на що посилається профіль PPP. Перевірка йде за сховищем облікових записів, а не за ключем. Двоє людей можуть ділити ноутбук і ключ і все одно розрізнятися на цьому етапі.
Оскільки це засвідчення користувача, діють усі звичайні політики облікового запису: прострочений пароль, заблокований запис, дозвіл на додзвон або ім’я, що має містити домен. Помилка 691 повідомляє таку комбінацію як відхилену, тож прочитайте обліковий запис сервера, перш ніж щось вводити заново.
Нехай помилка вибере поле
Помилка 789 називає рівень безпеки й указує на етап IPsec. Переконайтеся, що попередньо спільний ключ з обох боків збігається точно, що очікувана шлюзом особа партнера збігається з тим, що надсилає клієнт, і що клієнт налаштований на L2TP/IPsec, а не на інший тип.
Помилка 691 називає посвідчення й указує на PPP. Перевірте стан облікового запису й точний формат імені, перш ніж змінювати секрет, бо зміна обох одразу знищує докази, які ви читали.
Коли тунель піднімається, а трафік усе одно зупиняється, повністю припиніть редагувати поля засвідчення. Подивіться на пул адрес, маршрут назад у підмережу клієнта і MTU: порівняння двох рівнів допомагає лише поки збій ще всередині них.