Umumiy sir yoki foydalanuvchi kirishi: L2TP/IPsec ning qaysi maydoni ishlamadi?
Oldindan ulashilgan kalit hamkorni, PPP foydalanuvchi nomi va paroli esa shaxsni isbotlaydi. Xato kodi ikki qatlamdan qaysi biri buzilganini aytadi.
Bitta ofis har bir noutbukka bir xil IPsec sirini berishi mumkin, shu bilan birga har bir kishi o'z hisobi bilan kiradi, shuning uchun ham «kalit to'g'ri» va «parol to'g'ri» bir vaqtda to'g'ri bo'lishi mumkin, ammo kirish baribir muvaffaqiyatsiz tugaydi. L2TP va IPsec turli bosqichlarda turli tomonlarni autentifikatsiya qiladi. Ikki qatlamni taqqoslash va ularni ajratuvchi xato kodi bu chiptalarning ko'pini ikkala qiymatni yana almashtirishdan tezroq yopadi. Bosqichlar bir-birining o'rnini bosmaydi va oldingizdagi xabar qaysi biri ishlayotganini allaqachon aytadi.
Ikki qatlam, ikki xil shaxs
Avval IPsec hamkor autentifikatsiyasi ishlaydi. Mijoz va shlyuz hech qanday tunnel yuki himoyalanishidan oldin oldindan ulashilgan kalit yoki sertifikat bilan bir-biriga kim ekanini isbotlaydi. L2TP sessiyasi ichidagi PPP almashinuvi keyin bo'ladi va aynan o'sha yerda foydalanuvchi nomingiz va parolingiz serverning hisob omboriga qarshi tekshiriladi.
Bosqichlar mustaqil, shuning uchun to'g'ri foydalanuvchi hisobi noto'g'ri IPsec kalitini qutqara olmaydi, to'g'ri kalit ham muddati o'tgan parolni qutqara olmaydi. Ikkalasini chiptada alohida yozing va tashxis odatda bosqichni nomlaydigan birinchi jurnal satridan chiqadi.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Umumiy sir hamkorni isbotlaydi
Oldindan ulashilgan kalit shlyuz va unga ulanadigan har bir mijozda bo'ladigan guruh guvohnomasidir. U hamkor kalitni bilishini belgilaydi va undan IKE aloqani himoya qiluvchi kalitlarni oladi. Bu almashinuvda klaviatura ortidagi odamni aniqlaydigan hech narsa yo'q. Aynan shu sababdan o'sha tunnelda ikkinchi, foydalanuvchi darajasidagi kirish mavjud.
Bu dizaynning bekor qilish uchun amaliy natijasi bor. Bitta noutbukni yo'qotish uni ishlatadigan har bir qurilma uchun sirni almashtirishni bildiradi, agar joriy etish sertifikatlarga o'tmasa, u yerda bitta qurilmani qolganlariga tegmasdan olib tashlash mumkin. Almashinuv ma'muriy mehnat va zarar doirasi o'rtasida.
Profilga kiritilgan kalit ham ekran rasmlari va chat orqali eng oson oqib chiqadigan guvohnomadir. Unga shaxsiy parol emas, umumiy infratuzilma materiali sifatida qarang, chunki u aynan shunday.
Kirish PPP ga tegishli
L2TP sessiyasi ichida PPP autentifikatsiyani kelishadi va serverdan siz kiritgan qiymatlar juftini tekshirishni so'raydi. Windows da bu profil so'raydigan o'sha foydalanuvchi nomi va parol, marshrutizatorda esa PPP profili havola qiladigan narsa. U hisob omboriga qarshi tekshiriladi, kalitga qarshi emas. Ikki kishi noutbuk va kalitni baham ko'rishi mumkin va baribir bu bosqichda ajratiladi.
Bu foydalanuvchi autentifikatsiyasi bo'lgani uchun hisobning barcha odatiy siyosatlari amal qiladi: muddati o'tgan parol, qulflangan hisob, qo'ng'iroq qilish ruxsati yoki domen olib yurishi kerak bo'lgan nom. 691 xatosi bu birikmani rad etilgan deb xabar qiladi, shuning uchun biror narsani qayta kiritishdan oldin serverning hisob yozuvini o'qing.
Maydonni xato tanlasin
789 xatosi xavfsizlik qatlamini nomlaydi va IPsec bosqichiga ishora qiladi. Ikki tomondagi oldindan ulashilgan kalit aynan mos kelishini, shlyuz kutayotgan hamkor shaxsi mijoz yuborayotganiga mos kelishini va mijoz boshqa turga emas, L2TP/IPsec ga sozlanganini tasdiqlang.
691 xatosi guvohnomalarni nomlaydi va PPP ga ishora qiladi. Sirni o'zgartirishdan oldin hisob holati va nomning aniq formatini tekshiring, chunki ikkalasini birga o'zgartirish siz o'qiyotgan dalilni yo'q qiladi.
Tunnel ko'tarilib, trafik baribir to'xtasa, autentifikatsiya maydonlarini tahrirlashni butunlay to'xtating. Manzillar hovuziga, mijoz quyi tarmog'iga qaytish yo'liga va MTU ga qarang: ikki qatlamni taqqoslash faqat nosozlik hali ularning ichida bo'lganda yordam beradi.