Trao đổi IKEv2 thành công rồi xác thực thất bại: tìm ở đâu

Một máy khách nhận được phản hồi IKEv2 đã chứng minh rằng cổng vào là có thể tiếp cận, rằng hai bên có thể thương lượng một đề xuất và rằng trao đổi khóa ban đầu đã hoàn tất. Nhưng nó chưa chứng minh rằng ai đó đã được xác thực. Trao đổi tiếp theo mang danh tính, chứng chỉ hoặc EAP, và đó thường là nơi kết nối dừng lại. Đọc xem bước kiểm tra nào đã thất bại chính là toàn bộ chẩn đoán, và chỉ riêng thông báo lỗi hiếm khi nói ra điều đó.

Kiểm tra 1: đọc giai đoạn, không đọc thông báo

Một sự từ chối có thể đến từ ba nơi: máy khách từ chối danh tính của máy chủ, cổng vào từ chối bằng chứng của máy khách và một dịch vụ xác thực bên ngoài từ chối tài khoản.

Mỗi trường hợp tạo ra một dòng nhật ký khác nhau trên một máy khác nhau, và mỗi trường hợp có một cách khắc phục khác nhau. Việc máy khách từ chối chứng chỉ máy chủ là vấn đề tin cậy hoặc đặt tên trên máy khách; việc cổng vào từ chối chứng chỉ máy khách là vấn đề tin cậy trên cổng vào; lỗi EAP là vấn đề tài khoản hoặc phần phụ trợ. Thông báo bạn thấy thường là bản tóm tắt của máy khách về một trong các trường hợp đó, vì vậy nhật ký của cổng vào quan trọng ngang với nhật ký của máy khách.

Kiểm tra 2: danh tính nào đã được kiểm tra

Máy khách có thể từ chối chứng chỉ máy chủ hoặc danh tính mong đợi trước khi bất kỳ thông tin đăng nhập nào của người dùng được đưa ra, và một địa chỉ máy chủ hoạt động không thay thế cho bước kiểm tra đó. Định danh mà máy khách mong đợi phải khớp với điều mà cổng vào trình bày, đây là sự thật cấu hình chứ không phải sự thật mạng.

Theo thuật ngữ strongSwan thì đó là rightid trên máy khách và danh tính của chính cổng vào ở phía bên kia, và sự không khớp sẽ thất bại trước khi EAP được bàn tới.

Cổng vào, riêng rẽ, có thể từ chối chứng chỉ của máy khách, bằng chứng khóa hoặc xác thực tài khoản của nó, và ba thứ đó không thể thay thế cho nhau. Đặt lại mật khẩu người dùng không làm mới chứng chỉ thiết bị, và cài lại chứng chỉ thiết bị không sửa được danh tính máy chủ sai. Với lỗi chứng chỉ, hãy kiểm tra đồng hồ trước, rồi chuỗi tin cậy, rồi định danh mong đợi; một máy khách có đồng hồ lệch vài phút sẽ thất bại ở bước kiểm tra hiệu lực trông giống lỗi tin cậy. swanctl --list-certs ở cả hai đầu cho thấy mỗi bên thực sự nắm giữ gì.

Kiểm tra 3: nếu có EAP

Máy khách và máy chủ phải đồng ý về một phương thức được hỗ trợ, và phần phụ trợ phải chấp nhận danh tính được cung cấp.

Tên người dùng có thể cần hậu tố miền hoặc một định dạng tài khoản cụ thể mà việc triển khai yêu cầu, và định dạng đó được ghi tài liệu chứ không thể đoán. Cung cấp các trường được ghi tài liệu của người vận hành nhanh hơn thử các biến thể, và tránh một vấn đề thứ hai: các lần thử lặp lại có thể gây khóa tài khoản, rồi sau đó che giấu giai đoạn ban đầu sau một lỗi mới. Nếu phương thức là EAP-MSCHAPv2 với một thư mục, lỗi có thể thuộc về thư mục chứ không phải VPN.

Đừng kiểm tra vấn đề danh tính bằng cách tắt các bước kiểm tra danh tính. Điều đó biến một lỗi có thể chẩn đoán thành không thể chẩn đoán và để kết nối yếu hơn trước.

Kiểm tra 4: điều gì xảy ra sau khi đăng nhập thành công

Khi IKE_AUTH hoàn tất, thương lượng CHILD_SA quyết định những bộ chọn lưu lượng nào được cài đặt, và đó là nơi một kết nối có thể thành công mà vẫn không truyền được gì.

Một đăng nhập vừa hoạt động thường phơi ra vấn đề bộ chọn hoặc tuyến đường vốn bị che giấu sau lỗi xác thực. Nếu đường hầm lên nhưng ứng dụng vẫn không tới được đích, hãy xem các bộ chọn và tuyến đường đã thương lượng thay vì lại xem danh tính. Thay đổi cài đặt danh tính lúc đó nhắm vào sai giai đoạn và thường làm hỏng một đăng nhập đang hoạt động. Xác nhận bằng swanctl --list-sas, lệnh này hiển thị các kết nối con và bộ chọn của chúng tách khỏi IKE SA.

Kiểm tra 5: cần giao gì cho bộ phận hỗ trợ

Một dòng thời gian đã làm sạch và sự từ chối chính xác có giá trị hơn một bản xuất chẩn đoán đầy đủ, và bản xuất có thể chứa khóa riêng hoặc thông tin đăng nhập mà bạn không nên chia sẻ.

Ghi lại thời gian kèm múi giờ, phiên bản máy khách và cổng vào, phương thức, chuỗi danh tính được đưa ra thay vì mật khẩu, và giai đoạn chính xác đã từ chối nó. tài liệu cấu hình IKEv2 của strongSwan mô tả các cài đặt danh tính và EAP quyết định những kết quả này, và đó là tài liệu tham chiếu cần đọc trước khi thay đổi một trường. Sau đó chỉ thay đổi một thứ và kiểm tra lại một kết nối mới, vì một phiên được lưu trong bộ nhớ đệm sẽ cho bạn biết về cấu hình cũ.