L2TP ölümcül siqnal 15: NO_PROPOSAL_CHOSEN və çatışmayan modp1024

Bağlantınız donur, müştəri çıxır və ekrandakı son sətir death_handler: Fatal signal 15 received olur. Bu sətir səbəbi deyil, dayandırılmanı bildirir. IPsec jurnalında bir sətir yuxarıda demək olar həmişə NO_PROPOSAL_CHOSEN olur və bu cüt mübadilənin 2-ci fazasına işarə edir; orada tərəflər şifrələmə və heş seçimlərini müqayisə edir və ortaq heç nə olmadıqda dayanırlar. Həmin mərhələdə etimad məlumatları hələ göndərilməyib, ona görə parolu yenidən yazmaq nəticəni dəyişə bilməz.

Linux müştərisində bu kəsişməni adətən iki şey boşaldır. Lokal demon profilin tələb etdiyi Diffie-Hellman qrupunu artıq tətbiq etmir, ya da profil 1-ci faza təklifini 2-ci faza sahəsində daşıyır. Hər ikisi jurnalda iz qoyur və heç biri hesab problemi deyil.

İki mesajın əslində nə dediyi

IKE mərhələlərlə danışıq aparır. 1-ci faza qorunan kanal qurur və öz alqoritmlərini seçir; 2-ci faza, yəni uşaq SA, trafiki ayrı dəstlə daşıyır. NO_PROPOSAL_CHOSEN, təklif olunan birləşmələrin heç biri qəbuledilən olmadıqda cavab verənin qaytardığı bildirişdir və INFORMATIONAL mübadiləsi içində [ HASH N(NO_PROP) ] kimi görünür.

15 siqnalı başqa hadisədir: nəsə lokal prosesə dayanmağı əmr etdi və emal edən bunu jurnala yazdı. İki sətir birlikdə göründükdə sıra səbəbidir, əvvəl rədd, sonra bağlanma.

Etimad məlumatlarına toxunmadan əvvəl danışığı oxuyun

Jurnal səviyyəsini demonun yazdığı yerdə qaldırın, sonra çıxışı izləyərək yenidən qoşulun. NetworkManager hostunda L2TP plaqini bu səviyyəni arxa hissəyə ötürür və mesajlar paylanmadan asılı olaraq jurnala və ya klassik syslog faylına düşür. Bunlardan biri mübadiləni göstərəcək: journalctl -f -u NetworkManager | grep -Ei 'pluto|charon|no_prop|proposal' və ya tail -f /var/log/syslog | grep -Ei 'pluto|charon|ike'.

pluto adını çəkən sətir libreswan-dan, charon isə strongSwan-dan gəlir və ikisi eyni vəziyyəti fərqli sözlərlə təsvir edir. Axtarmağa dəyən forma çatışmayan qrupun adını çəkəndir, məsələn algorithm 'modp1024' is not supported, çünki qeyri-müəyyən nasazlığı dəqiq bir nasazlığa çevirir.

modp1024 hara itdi

Diffie-Hellman 2-ci qrupu o qədər zəifdir ki, bir neçə paylanma onu 3.30-dan etibarən libreswan-a daxil etməyi dayandırdı. Beləliklə, illər əvvəl yazılmış və ya yalnız aes128-sha1-modp1024 sadalayan şlüz bələdçisindən götürülmüş profil lokal demondan heç cür yerinə yetirə bilmədiyi bir şey tələb edir. Daha yeni NetworkManager-l2tp buraxılışları bu nəticəni daha ehtimallı edir: 1.2.16-dan etibarən onlar dəsti Windows 10 və iOS üslubunda təklif dəsti ilə əvəz edir və libreswan aşkarlandıqdan sonra modp1024-ü atır. Qarşı tərəf çox vaxt günahsızdır və hələ də məhz konfiqurasiya etdiyiniz qrupu təklif edir.

Bu asimmetriya nasazlığı təsadüfi hiss etdirir. Köhnə müştəri qoşulur, yenilənmiş noutbukda eyni profil qoşulmur, server konfiqurasiyası isə heç vaxt dəyişməyib. Zərəri versiya sürüşməsi vurur.

Fərqli təsir dairəsi olan iki düzəliş

Ucuz düzəliş alqoritmləri əl ilə kodlaşdırmağı dayandırmaqdır. Redaktorda hər iki təklif sahəsini boşaldın və plaqin qarşı tərəfin qəbul etdiyi dəsti seçməsinə icazə verin; şlüz müasir qrupları dəstəkləyirsə, danışıq əlavə iş olmadan tamamlanır.

İkinci düzəliş köhnə şlüzü strongSwan quraşdırmaqla əlçatan saxlayır; onun paketləri əksər paylanmalarda hələ də 2-ci qrupu tətbiq edir. Bu, demon dəyişidir, yəni müəyyən qiyməti var: silməzdən əvvəl hostdakı digər tunellərin libreswan konfiqurasiyasından asılı olub-olmadığını yoxlayın və Fedora-da NetworkManager ilə strongSwan plaqini arasında SELinux rəddləri gözləyin. Bu rəddlər IKE izində deyil, audit jurnalında üzə çıxır; buna görə tunel uğurlu quraşdırmadan dərhal sonra xarab görünə bilər. İşləyən sıra əvvəlcə dnf install strongswan, sonra rpm -e libreswan-dir.

Uyğun gələn təklif sətirləri və ətrafındakı tələlər

Sahələr əl ilə doldurulmalı olduqda 1-ci və 2-ci faza fərqli dəyərlər alır. Meraki üslublu qarşı tərəfə qarşı işlədiyi bilinən cüt 1-ci fazada aes128-sha1-modp1024, onun arxasında 3des-sha1-modp1024 təklif edir; hər ikisi dəsti ciddi edən nida işarəsi ilə bağlanır, ona görə yalnız o təkliflər göndərilir.

Sonra 2-ci faza eyni ciddi işarə ilə və heç bir Diffie-Hellman şəkilçisi olmadan aes128-sha1 və 3des-sha1-ə qədər daralır. -modp1024 daşıyan 2-ci faza sətri səhv sahədə 1-ci faza dəyəridir və cavab verən hər cəhddə onu rədd edir. Həmin sətri ikinci profilə köçürün, ikinci profil də eyni şəkildə uğursuz olur; bir yazı səhvi belə donanma miqyaslı hadisəyə çevrilir.

Başqa nasazlıqlar da təklif uyğunsuzluğu olmadan eyni açılan pəncərəni daşıyır. KDE-də L2TP tipi plaqin quraşdırılmış halda sadalana bilər, halbuki hər bağlantı dərhal ölür, çünki bağlantı redaktoru və işləmə köməkçiləri ayrı paketlər kimi göndərilir. Ekransız hostlar işləyən masaüstündən profil təkrar istifadə edə bilər: onu /etc/NetworkManager/system-connections/-dən kopyalayın, rejimi 600-ə qoyun, sonra nmcli con reload işə salın. Onu nmcli con up id work-l2tp ilə qaldırın, çünki çılpaq forma UUID istəyir, və köhnəlmiş ifname qeydini silin, əks halda hər şey düzgün olduğu halda menecer Could not find source connection cavabını verir.

İlkin paylaşılan açar açıq mətn kimi və ya 0s və ardınca base64 kimi saxlanıla bilər; hər iki forma işləyir, lakin dəyər şlüz ilə bayt-bayt uyğun olmalıdır, o cümlədən birlikdə kopyaladığınız son boşluqlar.