L2TP NO_PROPOSAL_CHOSEN: আসলে কোন ধাপটি ব্যর্থ হলো?
বিজ্ঞপ্তিটি বলে একটি প্রস্তাব প্রত্যাখ্যাত হয়েছে, কিন্তু কোনটি তা নয়। ধাপটি জানতে ব্যাকএন্ড লগ পড়ুন, তারপর গেটওয়ে পরিচালনাকারীর সঙ্গে স্যুটগুলো মিলিয়ে দেখুন।
NO_PROPOSAL_CHOSEN আসে কোনো PPP ব্যবহারকারী নাম যাচাই হওয়ার আগেই, যা একটি কাজের তথ্য এবং একই সঙ্গে বার্তাটি বিভ্রান্তিকর হওয়ার কারণ। এটি জানায় যে এক পক্ষ একটি প্রস্তাব প্রত্যাখ্যান করেছে; কোন প্যারামিটারটি মেলেনি তা জানায় না, এবং প্রত্যাখ্যানটি IKE অ্যাসোসিয়েশন তৈরির সময় ঘটেছে, নাকি পরে ট্রাফিক সুরক্ষা নিয়ে দরকষাকষির সময়, সে বিষয়েও কিছু বলে না। এই দুই সম্ভাবনার পেছনে দুই ভিন্ন সমাধান রয়েছে, এবং তার মধ্যে কেবল একটি সেই PFS চেকবক্সের সঙ্গে সম্পর্কিত যেখানে মানুষ প্রথমেই হাত দেয়।
এক বার্তা, দুই সেট প্রস্তাব
IKEv1 L2TP/IPsec বিন্যাসে পর্যায়ক্রমে দুটি দরকষাকষি হয়। ধাপ 1 একটি এনক্রিপশন অ্যালগরিদম, একটি অখণ্ডতা অ্যালগরিদম ও একটি Diffie-Hellman গ্রুপ থেকে IKE নিরাপত্তা অ্যাসোসিয়েশন গড়ে তোলে। এরপর ধাপ 2 ট্রাফিক কীভাবে সুরক্ষিত হবে তা নিয়ে দরকষাকষি করে, আর PFS-এর শর্তটি সেই দ্বিতীয় আলোচনার অংশ।
| Phase | What is agreed | What a rejection here means |
|---|---|---|
| Phase 1 | Encryption, integrity, DH group for the IKE SA | No management tunnel exists, so nothing later can run |
| Phase 2 | ESP transforms plus the PFS group policy | The IKE SA negotiates, then child negotiation fails |
ধাপগুলো ক্রমিক হওয়ায় ব্যর্থতার অবস্থানই বলে দেয় কোন তালিকা মেলাতে হবে। বার্তাটির সম্পূর্ণ রোগনির্ণায়ক মূল্য এখানেই, এবং কোনো সেটিংয়ে হাত দেওয়ার আগে এটি বের করে নেওয়া উচিত।
কেন একটি PFS চেকবক্স ধাপ 1 মেরামত করতে পারে না
PFS বন্ধ করা ধাপ 2-এর একটি বৈশিষ্ট্য বদলায়। পক্ষগুলো যদি কখনোই ধাপ 1-এ একমত না হয়, ESP আলোচনা কখনোই হয় না, তাই প্রত্যাখ্যানে চেকবক্সের কোনো প্রভাবই নেই, আর এজন্যই এটি টগল করলে একই ত্রুটি ভিন্ন সময়চিহ্ন নিয়ে আসে।
উল্টো ভুলটিও সমান সাধারণ। সফল IKE অ্যাসোসিয়েশন প্রমাণ করে না যে ESP প্রস্তাবটি গ্রহণযোগ্য, আর তা ধাপ 2-এর গ্রুপ মিলে গেছে বলেও নিশ্চিতই করে না। প্রতিষ্ঠিত ব্যবস্থাপনা টানেলকে কেবল ধাপ 1 সম্পর্কিত প্রমাণ হিসেবে ধরুন। মানুষ সবুজ রেখাটিকে «টানেল চালু» বলে পড়ে, তারপর ভুল ধাপে এক ঘণ্টা নষ্ট করে, কারণ দ্বিতীয় দরকষাকষি শুরু হয়নি বলে কিছুই তাদের জানায়নি।
অ্যালগরিদম বাছার আগে লগ পড়ুন
প্রত্যাখ্যানের ঠিক আগের বার্তাগুলো সেই ব্যাকএন্ড থেকে সংগ্রহ করুন যা সত্যিই সংযোগটি সামলাচ্ছে, এবং সেগুলোকে একই প্রচেষ্টার সঙ্গে সম্পর্কিত করুন। সেই সম্পর্ক ছাড়া আপনি অন্য একটি সংযোগের ইতিহাস পড়ছেন এবং তা থেকেই সিদ্ধান্ত টানছেন।
journalctl -b -u NetworkManager --since "10 min ago"
ipsec statusall # strongSwan
ipsec whack --status # Libreswanসেই লাইনগুলো থেকে দুটি প্রশ্নের উত্তর দিন: ধাপ 1-এর একটি অ্যাসোসিয়েশন প্রতিষ্ঠিত হয়েছিল কি, এবং কোন বিনিময়টি ব্যর্থ হলো। এই দুই উত্তর অনুসন্ধানকে একটি বৈশিষ্ট্য-তালিকায় সংকুচিত করে। পারিপার্শ্বিক প্রেক্ষাপটহীন একটি নগ্ন বিজ্ঞপ্তি তা করতে পারে না, যদিও ফোরামের থ্রেড থেকে একটি প্রস্তাব চেষ্টা করা খুবই লোভনীয়। ভিন্ন ব্যাকএন্ডের মেশিন থেকে কাজ করা স্ট্রিং কপি করলে সাধারণত একটি প্রত্যাখ্যানের জায়গায় আরেকটি, কিছুটা পরে আসা প্রত্যাখ্যান বসে।
ব্যাকএন্ডের সিনট্যাক্স বাহিত হয় না
কিছু মেলানোর আগে NetworkManager-l2tp-এর সংস্করণ ও IPsec ব্যাকএন্ডের সংস্করণ লিখে রাখুন। Libreswan ও strongSwan একই প্রস্তাব-সিনট্যাক্স বা অভিন্ন অ্যালগরিদম-সেট ভাগ করে না, তাই একটিতে কাজ করা স্ট্রিং অন্যটিতে সিনট্যাক্স ত্রুটি। ইনস্টল করা ব্যাকএন্ড নীতিগতভাবে IKEv1-ও প্রত্যাখ্যান করতে পারে, আর তখন কোনো প্রস্তাবই কখনো গৃহীত হবে না।
আপস্ট্রিম README ওই ব্যাকএন্ড পার্থক্যগুলো নথিবদ্ধ করে এবং ধাপ 1 ও ধাপ 2-এর ক্ষেত্রগুলো আলাদা রাখে। এটি গঠনের নথি হিসেবে পড়ুন, প্রতিটি ঐতিহাসিক সাইফার ও একটি দুর্বল গ্রুপ চালু করার আমন্ত্রণ হিসেবে নয়, কারণ কেবল তা করেই যে সংযোগ সফল হয়, সেটি আপনার তৈরি করতে বলা সংযোগ নয়।
স্যুটে একমত হোন, তারপর পর্যায়গুলো যাচাই করুন
গেটওয়ে পরিচালনাকারীকে জিজ্ঞাসা করুন কোন IKE ও ESP স্যুট সমর্থিত এবং অনুমোদিত, তারপর সেই উত্তরটি ক্লায়েন্টের কার্যকর প্রস্তাবের সঙ্গে মেলান, তার কনফিগারেশন ফাইলের সঙ্গে নয়। মতানৈক্যটি যদি নির্দিষ্টভাবে ধাপ 2-এর PFS নিয়ে হয়, তবে একটি সমর্থিত গ্রুপ বা স্পষ্টভাবে অনুমোদিত PFS-বিহীন নীতি বেছে নিন। ত্রুটির নাম থেকে নীতি অনুমান করবেন না।
যখন একমাত্র মিলটি এমন ক্রিপ্টোগ্রাফি দাবি করে যা প্রতিষ্ঠান আর গ্রহণ করে না, সিদ্ধান্তটি গেটওয়ের বা প্রোটোকল স্থানান্তরের। ক্লায়েন্ট স্ট্রিংটি যতক্ষণ না কিছু দরকষাকষি হয় ততক্ষণ চওড়া করা মানে একটি জানা দুর্বলতাকে পাশে সবুজ টিক দিয়ে পাঠিয়ে দেওয়া।
আসল অমিলটি ঠিক করার পর, L2TP ও PPP তদন্তের আগে IPsec প্রতিষ্ঠা নিশ্চিত করুন, এবং পরবর্তী যেকোনো প্রমাণীকরণ প্রত্যাখ্যানকে পরের পর্যায়ের বলে ধরুন। তারপর অনুমোদিত পরীক্ষা প্রক্রিয়ায় নবায়ন পরীক্ষা করুন, কারণ প্রথম অ্যাসোসিয়েশন প্রতিষ্ঠা তার বাকি জীবনকাল সম্পর্কে কিছুই বলে না।