Bitta xato, uchta sir: qaysi VPN hisobi ishlamadi?
Mijoz har bir bosqich uchun bitta xatoni ko'rsatadi. Hech kim tekshirmagan parolni tiklashdan oldin assotsiatsiya, foydalanuvchi almashinuvi va usulni o'qing.
“Autentifikatsiya muvaffaqiyatsiz tugadi” server sertifikatiga, mashinaning oldindan ulashilgan kalitiga yoki foydalanuvchi paroliga ishora qilishi mumkin. Qaysi biri nazarda tutilgani protokolga bog'liq, chunki har bir protokol o'z sirlar to'plamini belgilaydi. Noto'g'ri sini tiklasangiz, xato o'zgarmay qoladi. Chiqish yo'li — biror narsani tahrirlashdan oldin protokol qancha dalil talab qilishini aniqlash.
Qarama-qarshi yo'nalishlarga ishora qiluvchi ikki dalil
Tunnel to'g'ri shlyuzga yetib borganini va alohida ravishda foydalanuvchi kimligini javob berishi kerak. Shlyuz dalili mashina darajasida: server sertifikati, oldindan ulashilgan kalit yoki statik ochiq kalit. Foydalanuvchi dalili shaxs darajasida: parol, token, mijoz sertifikati yoki hech narsa. Bular ishonchning qarama-qarshi yo'nalishlari va turli material sarflaydi.
IKEv2 shlyuz dalilini IKE_AUTH ichida bajaradi va EAP ishlatilganda foydalanuvchi dalilini keyin alohida almashinuvda ishga tushiradi. IKEv2 spetsifikatsiyasi ularni alohida bo'limlar sifatida saqlaydi, bu bitta xabar ikkala bosqichni qamrab olganda qayerga qarash kerakligiga kuchli ishoradir.
Bosqichni o'qing, xabarni emas
Qaysi bosqich muvaffaqiyatsiz bo'lishidan qat'i nazar, mijoz bir xil xato satrini ko'rsatadi, shuning uchun satrning o'zi deyarli hech qanday ma'lumot bermaydi. Ma'lumot beradigan narsa — har bir bosqichda tekshirish mumkin bo'lgan holat: assotsiatsiya mavjudmi, foydalanuvchi almashinuvi boshlandimi va mijoz shlyuz xohlagan usulni taklif qildimi. Jadval bosqichlarni protokol nomi bo'yicha emas, shu tarzda tartiblaydi.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Faqat ikkinchi qator foydalanuvchi qayta yozishi mumkin bo'lgan hisobga tegishli. Qolgan uchtasi konfiguratsiya faktlari va aynan shu nomuvofiqlik sabab bu hisobotlarning ko'pchiligi hech narsani o'zgartirmaydigan parolni tiklash bilan tugaydi. Biror maydonga tegishdan oldin dalillaringizga mos qatorni o'qing.
Ikki sirli protokol qo'lini ko'rsatadi
L2TP IPsec ustida sonni ko'rinadigan qiladi, chunki ikkala tekshiruv turli jarayonlarda bo'lib o'tadi. IPsec qatlami avval oldindan ulashilgan kalit yoki sertifikat bilan ko'tarilishi kerak, shundan keyingina uning ichidagi PPP foydalanuvchi kirishini sinab ko'radi.
Mashina siri noto'g'ri bo'lsa, hech qanday assotsiatsiya shakllanmaydi va foydalanuvchi hisobi hech qachon sinalmaydi. Mashina siri to'g'ri, foydalanuvchi siri noto'g'ri bo'lsa, assotsiatsiya mavjud bo'ladi va tunnel allaqachon ko'tarilgandan keyin PPP kirishni rad etadi. Ikkalasi ham ekranda bir xil xabarni ikki xil hodisadan chiqaradi.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerBo'sh assotsiatsiyalar ro'yxati foydalanuvchi qatlamini darhol chiqarib tashlaydi, shuning uchun uni paroldan oldin tekshiring. Takroriy PPP nosozliklari bilan o'rnatilgan assotsiatsiya boshqa tomonga, ya'ni foydalanuvchi qatlamiga yoki uning ichidagi autentifikatsiya protokoliga ishora qiladi. Bu xulosalarning hech birini mijozning xato matnidan olib bo'lmaydi.
Faqat parol bilan kirish aslida nimaga bog'liq
Faqat parol bilan kirish L2TP, PPTP, SSTP va EAP bilan IKEv2 uchun odatiy. WireGuard'da bunday imkoniyat umuman yo'q, chunki uning hamkorlari foydalanuvchilar emas, kalitlardir. OpenVPN uchun javob serverning mijoz sertifikati talabidan keladi: sertifikat ham, parol ham talab qiladigan shlyuz maydonga nima yozilishidan qat'i nazar, faqat parolli mijozni rad etishda davom etadi.
Qaysi komponent kerakligi xuddi shu javobdan kelib chiqadi. IKEv2 ostida parol bilan kirish EAP gapiradigan mijozni talab qiladi, sertifikat bilan kirish esa mijozning shaxsiy kalitini va server zanjirini talab qiladi. Noto'g'ri sini o'rnatsangiz, autentifikatsiya usulining o'zi yetishmasa ham nosozlik hisob xatosi kabi o'qiladi.
Bitta narsani o'zgartiring, keyin qayta sinang
Avval uchta faktni aniqlang: qaysi protokol ishlayapti, u qancha sir belgilaydi va ulardan qaysilari foydalanuvchiga emas, mashinaga tegishli. Mashinalar birinchi bosqichda, odamlar ikkinchisida muvaffaqiyatsizlikka uchraydi va bu ikkalasini aralashtirish butun muammodir.
Keyin aynan bitta narsani o'zgartiring va o'sha mijozdan qayta sinang. Bu tartib chalkash nosozlikni keyingi odamga tushuntira oladigan tuzatishga aylantiradi, bu esa hech kim tushuntira olmaydigan ishlaydigan ulanishdan foydaliroq.