L2TP-də NO_PROPOSAL_CHOSEN? Əvvəlcə şlüzü skan edin

İstifadəçi adı sorğusu heç vaxt görünmür və müştəri NO_PROPOSAL_CHOSEN bildirir. Bu məqamda etimad məlumatları və əvvəlcədən paylaşılmış açar əhəmiyyətsizdir, çünki iki tərəf 1-ci fazanın necə qorunacağı barədə razılaşmayıb. Çoxu insan onlayn tapdıqları şifr sətrini yapışdırmaqla cavab verir. Şlüzün skan edilməsi eyni suala sübutla cavab verir və təxminən eyni vaxt alır.

Mesajın istisna etdiyi şeylər

Rədd əsas rejimdə, hər hansı L2TP və ya PPP mübadiləsindən əvvəl baş verir, ona görə tunel və istifadəçi bazası sorğulanmayıb. 1-ci faza şifrələmə, bütövlük və Diffie-Hellman qrupu üzərində danışıqlar aparır. 2-ci faza məlumat üçün ESP təklifi üzərində danışıqlar aparır. 1-ci fazadakı uğursuzluq 2-ci faza PFS parametrini dəyişməklə düzəldilə bilməz, və tamamlanmış IKE assosiasiyası ESP təklifinin uyğun olduğunu sübut etmir.

Sintaksisi redaktə etməzdən əvvəl backend-i qeyd edin: ipsec --version. libreswan və strongSwan eyni alqoritmlər üçün fərqli təklif yazılışlarını qəbul edir.

Sonra rəddi kontekstlə birlikdə oxuyun: journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Şlüzü transformasiya dəsti üçün skan edin

Skaner şlüzdən birbaşa hansı transformasiyalar üzərində danışıqlar aparacağını soruşur. Əvvəlcə yerli IPsec xidmətini dayandırın ki, yoxlama öz müştərinizlə rəqabət aparmasın, sonra SA sətirlərini oxuyun. Siyahıya qarşı tərəf haqqında sübut kimi baxın, hamısını birdən aktivləşdiriləcək menyu kimi deyil.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Köhnə cihazlar tez-tez 3DES, SHA1 və MODP1024 təklif edir, çünki məhsul göndəriləndə bunlar standart idi və heç kim onlara yenidən baxmamışdı. Xam skan çıxışını saxlayın, çünki həmin gün qarşı tərəfin nə təklif etdiyinin yeganə qeydi budur. Əgər bu, mövcud ən güclü üst-üstə düşmədirsə, düzgün eskalasiya şlüz sahibinədir, hər kəs üçün zəif kriptoqrafiyanı yenidən aktivləşdirən müştəri konfiqurasiyasına deyil.

Təhlükəsizliyi söndürmədən üst-üstə düşməni uyğunlaşdırın

Yalnız həm skanda, həm də siyasətinizdə görünən transformasiyaları daxil edin. Aşağıdakı nümunə 1-ci fazada 3DES, SHA1 və MODP1024 təklif edən şlüzü əks etdirir. Backend qeydinə diqqət yetirin: libreswan 4.x modp1024 qrupunu kompilyasiya etmir, ona görə bu, strongSwan və ya DH2 dəstəyi olan libreswan quruluşuna aiddir. Müştərinin xarab olduğu qənaətinə gəlməzdən əvvəl versiyanı yoxlayın.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Sondakı nida işarəsi tək təklifi bərkidir. Onu bir sınağı təcrid etmək üçün istifadə edin, sonra şlüzün sonradan daha güclü bir şey üzərində danışıqlar apara bilməsi üçün onu silin.

Yenidən cəhd etməzdən əvvəl demonu və portu yoxlayın

NetworkManager-l2tp öz xl2tpd nüsxəsini işə salır. Əgər sistem xidməti artıq UDP 1701 portuna sahibdirsə, müştəri müvəqqəti mənbə portuna keçir; RFC 3193 buna icazə verir, bəzi serverlər isə onu səssizcə atır. Növbəti cəhddən əvvəl soketin sahibini yoxlayın.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Köhnəlmiş yaradılmış sirlər başqa bir səssiz səbəbdir. Altındakı fayllar /etc/ipsec.d/ köhnə bağlantı üçün adlandırılıbsa, onları yaradan profildən daha uzun yaşaya bilər, ona görə heç nəyin istinad etmədiyi faylları silin və yenidən cəhd edin.

Nəhayət, məsləhətin haradan gəldiyini yoxlayın. IKEv1 XAuth üçün yazılmış bir ipsec.conf fərqli VPN növünü təsvir edir və onun təklifi L2TP profilində səhv olacaq yeganə sətir deyil. Daxil etdiyiniz transformasiya dəstini profilin yanında qeyd edin ki, növbəti şəxs yoxlamanı təkrarlamasın.