L2TP/IPsec PSK rad etildi: avval dialog, keyin fayllar

Administrator xabaridagi oldindan ulashilgan kalitni NetworkManager dialogiga qo'yasiz, uni ko'rsatish uchun katakchani belgilaysiz va u harfma-harf mos keladi. Shunga qaramay ulanish tunnel ko'tarilishidan oldin autentifikatsiya xatosi bilan tugaydi. Buni birinchi marta ko'rganimda kalit xato deb o'yladim; aslida unday emas edi. Demon aslida nimani o'qishini yana ikki narsa belgilaydi: plagin shu ulanish uchun yozadigan maxfiy fayl va qiymat dialogdan o'zgarmasdan o'tganmi yoki yo'qmi.

Quyidagi yo'l kalitni maydondan faylgacha kuzatadi va u qayerda yo'qolganini aynan shu tartib aytadi. Buni ishlamayotgan mashinada qiling, ishlayotganida emas, chunki bu ikki mashina orasidagi farq odatda fayllar joylashuvi, kalit emas.

Dialogdan boshlang, lekin maydonga ishonmang

Ulanishning IPsec yorlig'ini oching va kalitni qo'yish o'rniga qaytadan yozing. Chat xabari, PDF yoki parol menejeridan ko'chirilgan kalit oxirida maydon ko'rsatmaydigan satr uzilishi bilan kelishi mumkin, ko'rinib turgan harflar esa baribir to'g'ri ko'rinadi.

Parolni ko'rsatish boshqaruvini bosing va satrning oxiriga qarang, o'rtasiga emas. Agar kursor matn ostida bo'sh satr qoldirsa, uni o'chiring va oxirgi harfni qaytadan yozing. Shu bitta tuzatish bunday xabarlarning hayratlanarli qismini hal qiladi va har qanday jurnalni o'qishdan arzonroq.

Agar kalit uzun satrlarni bukadigan chipta tizimidan kelgan bo'lsa, bukmaydigan kanal orqali so'rang. Ikki satrni yonma-yon ko'zdan kechirish o'rniga uzunliklarni administrator bilan solishtiring; bukilish joyida yo'qolgan harf mutanosib shriftda ko'rinmaydi.

Kalitni /etc/ipsec.d ichiga kuzatib boring

Plagin PSK ni IPsec demoniga buyruq satrida argument sifatida hech qachon bermaydi. Buning o'rniga qiymatni maxfiy faylda saqlaydi va demon o'sha faylni olishini tashkil qiladi, agar yo'q bo'lsa /etc/ipsec.secrets ga include satrini qo'shadi. Dialog ushlab turgan narsa — o'sha yaratilgan fayl uchun kirish, ishlatilayotgan qiymat emas.

Biror narsani o'zgartirishdan oldin nima borligini sanab chiqing:

ipsec --version
sudo ls -l /etc/ipsec.d/*.secrets /etc/ipsec.d/ipsec.nm-l2tp.secrets 2>/dev/null
sudo grep -n "include" /etc/ipsec.secrets

Plaginning eski versiyalari har bir ulanish uchun bitta fayl yozardi, u ulanishning UUID si bilan nomlanardi, masalan /etc/ipsec.d/nm-l2tp-ipsec-<uuid>.secrets. Ilovada profilni o'chirish bu faylni ishonchli o'chirmaydi. Agar oldingi serverdan qolgan eski fayl hali diskda bo'lsa va hali qo'shilayotgan bo'lsa, demon siz endi ishlatmaydigan profilga tegishli sirni tanlashi mumkin va ko'rinib turgan maydon to'g'ri bo'lsa ham ulanish muvaffaqiyatsiz bo'ladi.

1.2.12 o'zgarishi yangilanishlarga nima qilganini tushuning

Plaginning 1.2.12 versiyasi har bir ulanish uchun maxfiy fayllarni bitta umumiy fayl bilan almashtirdi, /etc/ipsec.d/ipsec.nm-l2tp.secrets. Yangilanish UUID bo'yicha eski fayllarni tozalamaydi va mavjud include /etc/ipsec.d/*.secrets satri ularni baribir qo'shadi. 1.2.16 versiyasi standart takliflarni qayta ishlashni o'zgartirdi, sirlar joylashuvini emas.

Bu tarix bir xil ko'rinadigan profilga ega ikki mashina nega boshqacha harakat qilishini tushuntiradi. Kalit bir xil; demon qo'shadigan fayllar to'plami bir xil emas. Yetim faylni olib tashlaganda uni o'chirish o'rniga chetga suring, ulanishni tasdiqlang va ishlaydigan holat yozib olingandan keyingina o'chiring. Nomini o'zgartirish eski qiymatni tiklash mumkin bo'lgan holatda saqlaydi, agar nosozlik boshqa joyda bo'lib chiqsa.

Saqlash formati sig'dira olmaydigan belgilarni ajrating

Umumiy sir satri haqidagi strongSwan hujjati qiymatda yangi satr yoki qo'sh qo'shtirnoq belgisi bo'lmasligi kerakligini aytadi. Hujjatdan qo'yilgan kalit oddiy dialogda hech qanday ko'rinadigan farqsiz ikkalasidan birini olib yurishi mumkin.

1.2.12 dan beri saqlangan qiymat oddiy matn emas. Plagin PSK ni faylga yetib borishidan oldin base64 bilan kodlaydi va nashr eslatmalari aynan shu kodlashni qo'sh qo'shtirnoqning endi kalitda maqbul bo'lishiga sabab sifatida ko'rsatadi. Shuning uchun maydonga yozilgan qo'shtirnoq ifodalanadi; har bir boshqaruv belgisiga bu to'g'ri kelmaydi.

Uzunlik boshqa cheklov. L2TP/IPsec dasturiy ta'minotida umumiy minimum yo'q: ba'zi mijozlar yigirma belgidan qisqa kalitlarni qabul qiladi, ba'zi shlyuzlar minimum talab qiladi. Qisqa kalit rad etilsa, qoida server siyosatiga yoki o'sha mijozning tekshiruviga tegishli, mahalliy ravishda biror narsani oshirish buni o'zgartirmaydi.

Autentifikatsiyaning qaysi qatlami muvaffaqiyatsiz bo'lganini o'qing

Avval ipsec --version ni ishga tushiring, chunki strongSwan va Libreswan turli fayl nomlari va sintaksisdan foydalanadi, bittasi uchun berilgan maslahat ikkinchisiga zarar yetkazishi mumkin. Keyin muvaffaqiyatsizlik bosqichini mijoz xabaridan yoki demon jurnalidan o'qing: oldindan ulashilgan kalit haqidagi shikoyat rad etilgan foydalanuvchi nomi va paroldan boshqa hodisa.

PSK tunnelning ikki uchini autentifikatsiya qiladi. Foydalanuvchi nomi va parol L2TP ichidagi shaxsni autentifikatsiya qiladi va IPsec birlashmasi ko'tarilgandan keyin PPP ular bilan shug'ullanadi. To'g'ri PSK noto'g'ri hisob bilan ham muvaffaqiyatsiz bo'ladi va hisobni almashtirish demon hech qachon to'g'ri o'qimagan kalitni tuzatmaydi.

Chiptani yopayotganda to'rttasini ham yozing: plagin versiyasi, ishlatilayotgan maxfiy fayl, kalit qaytadan yozildimi yoki qo'yildimi, va xatoda nomlangan qatlam. Shunda bu yo'lni keyin takrorlaydigan har kim ishlaydigan va muvaffaqiyatsiz mashina orasidagi farqqa to'g'ridan-to'g'ri o'tishi mumkin.