Khóa bí mật chia sẻ hay đăng nhập người dùng: trường L2TP/IPsec nào đã thất bại?
Khóa chia sẻ trước chứng minh đối tác, còn tên người dùng và mật khẩu PPP chứng minh con người. Mã lỗi cho biết lớp nào trong hai lớp đã hỏng.
Một văn phòng có thể cấp cùng một bí mật IPsec cho mọi laptop trong khi mỗi người vẫn đăng nhập bằng tài khoản riêng, và đó là lý do «khóa đúng» và «mật khẩu đúng» có thể cùng đúng mà đăng nhập vẫn thất bại. L2TP và IPsec xác thực các bên khác nhau ở các giai đoạn khác nhau. Việc so sánh hai lớp, cùng mã lỗi phân tách chúng, đóng phần lớn các phiếu này nhanh hơn là đổi lại cả hai giá trị. Các giai đoạn không thể hoán đổi, và thông báo trước mặt bạn đã nói lớp nào đang hoạt động.
Hai lớp, hai danh tính khác nhau
Đầu tiên là xác thực đối tác IPsec. Máy khách và cổng chứng minh cho nhau biết họ là ai, bằng khóa chia sẻ trước hoặc chứng chỉ, trước khi bất kỳ tải trọng đường hầm nào được bảo vệ. Trao đổi PPP bên trong phiên L2TP diễn ra sau đó, và chính tại đó tên người dùng cùng mật khẩu của bạn được kiểm tra với kho tài khoản của máy chủ.
Các giai đoạn độc lập, nên một tài khoản người dùng hợp lệ không thể cứu một khóa IPsec sai, và một khóa đúng không thể cứu mật khẩu đã hết hạn. Hãy ghi hai điều riêng rẽ trong phiếu và chẩn đoán thường rơi ra từ dòng nhật ký đầu tiên nêu tên một giai đoạn.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
Bí mật chia sẻ chứng minh đối tác
Khóa chia sẻ trước là thông tin xác thực nhóm do cổng và mọi máy khách kết nối tới nó nắm giữ. Nó xác lập rằng đối tác biết khóa, và từ đó IKE suy ra các khóa bảo vệ kết nối. Không có gì trong trao đổi đó nhận diện con người trước bàn phím. Đó chính là lý do tồn tại một lần đăng nhập thứ hai, ở cấp người dùng, trong cùng đường hầm.
Thiết kế đó có hệ quả thực tế cho việc thu hồi. Mất một laptop nghĩa là phải xoay bí mật cho mọi thiết bị dùng nó, trừ khi triển khai chuyển sang chứng chỉ, nơi có thể gỡ một thiết bị mà không đụng tới phần còn lại. Sự đánh đổi là công sức quản trị so với phạm vi thiệt hại.
Một khóa được gõ vào hồ sơ cũng là thông tin xác thực dễ rò rỉ nhất qua ảnh chụp màn hình và trò chuyện. Hãy coi nó là vật liệu hạ tầng dùng chung chứ không phải mật khẩu cá nhân, vì nó đúng là như vậy.
Đăng nhập thuộc về PPP
Bên trong phiên L2TP, PPP thương lượng xác thực và yêu cầu máy chủ kiểm tra cặp giá trị bạn đã gõ. Trên Windows, đó là cùng tên người dùng và mật khẩu mà hồ sơ yêu cầu, còn trên bộ định tuyến là thứ mà hồ sơ PPP tham chiếu. Nó được kiểm tra với kho tài khoản, không phải với khóa. Hai người có thể dùng chung một laptop và một khóa mà vẫn được phân biệt ở giai đoạn này.
Vì đây là xác thực người dùng, mọi chính sách tài khoản thông thường đều áp dụng: mật khẩu hết hạn, tài khoản bị khóa, quyền quay số hoặc tên phải mang tên miền. Lỗi 691 báo tổ hợp đó là bị từ chối, nên hãy đọc bản ghi kế toán của máy chủ trước khi gõ lại bất cứ điều gì.
Hãy để lỗi chọn trường
Lỗi 789 nêu tên lớp bảo mật và chỉ vào giai đoạn IPsec. Xác nhận rằng khóa chia sẻ trước ở hai phía khớp chính xác, rằng danh tính đối tác mà cổng mong đợi khớp với thứ máy khách gửi đi, và rằng máy khách được cấu hình cho L2TP/IPsec chứ không phải loại khác.
Lỗi 691 nêu tên thông tin xác thực và chỉ vào PPP. Kiểm tra trạng thái tài khoản và định dạng tên chính xác trước khi đổi bí mật, vì đổi cả hai cùng lúc sẽ phá hủy bằng chứng bạn đang đọc.
Khi đường hầm dựng lên mà lưu lượng vẫn dừng, hãy ngừng hẳn việc sửa các trường xác thực. Nhìn vào nhóm địa chỉ, tuyến quay lại mạng con của máy khách và MTU: việc so sánh hai lớp chỉ giúp được khi sự cố còn nằm bên trong chúng.