IKEv2 almashinuvi ishlaydi, keyin autentifikatsiya muvaffaqiyatsiz bo‘ladi: qayerdan izlash kerak

IKEv2 javobini olgan mijoz shlyuzga yetib borish mumkinligini, ikkala tomon ham taklif bo‘yicha muzokara qila olishini va boshlang‘ich kalit almashinuvi tugaganini isbotladi. Lekin u kimningdir autentifikatsiya qilinganini isbotlamadi. Keyingi almashinuv identifikatsiyalar, sertifikatlar yoki EAPni olib yuradi va ulanish odatda shu yerda to‘xtaydi. Bu tekshiruvlardan qaysi biri muvaffaqiyatsiz bo‘lganini o‘qish butun tashxis, va faqat xato xabari buni kamdan-kam aytadi.

Tekshiruv 1: xabarni emas, bosqichni o‘qing

Rad etish uch joydan kelishi mumkin: mijoz serverning identifikatsiyasini rad etadi, shlyuz mijozning isbotini rad etadi va tashqi autentifikatsiya xizmati hisobni rad etadi.

Har biri boshqa mashinada boshqa jurnal satrini yaratadi va har birining tuzatishi boshqacha. Mijoz tomonida server sertifikatini rad etish mijozdagi ishonch yoki nomlash muammosi; shlyuz tomonida mijoz sertifikatini rad etish shlyuzdagi ishonch muammosi; EAP nosozligi hisob yoki backend muammosi. Siz ko‘rayotgan xabar odatda mijozning ulardan biri haqidagi xulosasi, shuning uchun shlyuz jurnali mijoz jurnali kabi muhim.

Tekshiruv 2: qaysi identifikatsiya tekshirildi

Mijoz har qanday foydalanuvchi hisob ma’lumotlari taklif qilinishidan oldin server sertifikatini yoki kutilgan identifikatsiyani rad etishi mumkin, va ishlaydigan server manzili bu tekshiruvning o‘rnini bosmaydi. Mijoz kutayotgan identifikator shlyuz taqdim etayotganiga mos kelishi kerak, bu tarmoq emas, konfiguratsiya fakti.

strongSwan atamalarida bu mijozdagi rightid va boshqa tomondagi shlyuzning o‘z identifikatsiyasi, va nomuvofiqlik EAP muhokama qilinishidan oldin muvaffaqiyatsiz bo‘ladi.

Shlyuz alohida mijoz sertifikatini, uning kalit isbotini yoki hisob autentifikatsiyasini rad etishi mumkin, va bu uchtasi bir-birini almashtirmaydi. Foydalanuvchi parolini tiklash qurilma sertifikatini yangilamaydi, qurilma sertifikatini qayta o‘rnatish esa noto‘g‘ri server identifikatsiyasini tuzatmaydi. Sertifikat nosozliklarida avval soatni, keyin ishonch zanjirini, so‘ng kutilgan identifikatorni tekshiring; soati bir necha daqiqa farq qiladigan mijoz ishonch nosozligiga o‘xshaydigan amallilik tekshiruvida muvaffaqiyatsiz bo‘ladi. swanctl --list-certs ikkala uchida har bir tomon aslida nima saqlayotganini ko‘rsatadi.

Tekshiruv 3: agar EAP ishtirok etsa

Mijoz va server qo‘llab-quvvatlanadigan usul bo‘yicha kelishishi kerak, backend esa taqdim etilgan identifikatsiyani qabul qilishi kerak.

Foydalanuvchi nomiga domen qo‘shimchasi yoki joylashtirish talab qiladigan muayyan hisob formati kerak bo‘lishi mumkin, va format taxmin qilinadigan emas, hujjatlashtirilgan. Operatorning hujjatlashtirilgan maydonlarini taqdim etish variantlarni sinab ko‘rishdan tezroq va ikkinchi muammoning oldini oladi: takroriy urinishlar hisobni bloklashi mumkin, bu esa asl bosqichni yangi nosozlik ortiga yashiradi. Agar usul katalogga qarshi EAP-MSCHAPv2 bo‘lsa, nosozlik VPNga emas, katalogga tegishli bo‘lishi mumkin.

Identifikatsiya tekshiruvlarini o‘chirib, identifikatsiya muammolarini sinamang. Bu tashxis qilish mumkin bo‘lgan nosozlikni tashxis qilib bo‘lmaydigan holga keltiradi va ulanishni avvalgidan zaifroq qoldiradi.

Tekshiruv 4: muvaffaqiyatli kirishdan keyin nima bo‘ladi

IKE_AUTH tugagach, CHILD_SA muzokarasi qaysi trafik tanlagichlari o‘rnatilishini hal qiladi, va aynan shu yerda ulanish muvaffaqiyatli bo‘lib, baribir hech narsa o‘tkazmasligi mumkin.

Yangi ishlay boshlagan kirish avval autentifikatsiya nosozligi ortida yashiringan tanlagich yoki marshrut muammosini ko‘pincha ochib beradi. Tunnel ko‘tarilsa ham dastur manziliga yetib bormasa, yana identifikatsiyaga emas, kelishilgan tanlagichlar va marshrutlarga qarang. O‘sha paytda identifikatsiya sozlamalarini o‘zgartirish noto‘g‘ri bosqichni nishonga oladi va odatda ishlaydigan kirishni buzadi. swanctl --list-sas bilan tasdiqlang, u bolalarni va ularning tanlagichlarini IKE SA dan alohida ko‘rsatadi.

Tekshiruv 5: qo‘llab-quvvatlashga nima berish kerak

Tozalangan vaqt chizig‘i va aniq rad etish to‘liq diagnostika eksportidan qimmatliroq, va eksportda siz baham ko‘rmasligingiz kerak bo‘lgan shaxsiy kalitlar yoki hisob ma’lumotlari bo‘lishi mumkin.

Vaqtni vaqt mintaqasi bilan, mijoz va shlyuz versiyalarini, usulni, parol o‘rniga taklif qilingan identifikatsiya satrini va uni rad etgan aniq bosqichni yozib oling. strongSwan IKEv2 konfiguratsiya hujjati bu natijalarni belgilaydigan identifikatsiya va EAP sozlamalarini tavsiflaydi, va maydonni o‘zgartirishdan oldin o‘qish kerak bo‘lgan manba shu. Keyin bitta narsani o‘zgartiring va yangi ulanishni qayta sinab ko‘ring, chunki keshlangan sessiya sizga eski konfiguratsiya haqida aytadi.