NO_PROPOSAL_CHOSEN ar L2TP? Sganiwch y porth yn gyntaf

Nid yw’r anogwr enw defnyddiwr byth yn ymddangos, ac mae’r cleient yn adrodd NO_PROPOSAL_CHOSEN. Mae manylion mewngofnodi a’r allwedd a rennir ymlaen llaw yn amherthnasol ar y pwynt hwnnw, oherwydd nid yw’r ddau ben wedi cytuno sut i amddiffyn cam 1. Mae’r rhan fwyaf o bobl yn ymateb drwy gludo llinyn seiffr a gawsant ar-lein. Mae sganio’r porth yn ateb yr un cwestiwn gyda thystiolaeth ac yn cymryd tua’r un amser.

Beth mae’r neges yn ei eithrio

Mae’r gwrthodiad yn digwydd yn y modd prif, cyn unrhyw gyfnewid L2TP neu PPP, felly nid yw’r twmffat na chronfa ddata’r defnyddiwr wedi cael eu hystyried. Mae cam 1 yn trafod amgryptio, cyfanrwydd a grŵp Diffie-Hellman. Mae cam 2 yn trafod y cynnig ESP ar gyfer data. Ni ellir trwsio methiant yng ngham 1 drwy newid gosodiad PFS cam 2, ac nid yw cymdeithas IKE a gwblhawyd yn profi bod y cynnig ESP yn addas.

Cofnodwch y backend cyn golygu’r gystrawen: ipsec --version. Mae libreswan a strongSwan yn derbyn sillafiadau gwahanol o’r cynnig ar gyfer yr un algorithmau.

Yna darllenwch y gwrthodiad yng nghyd-destun gyda journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Sganiwch y porth am ei set trawsffurfio

Mae sganiwr yn gofyn i’r porth yn uniongyrchol pa drawsffurfiadau y bydd yn eu trafod. Stopiwch y gwasanaeth IPsec lleol yn gyntaf fel nad yw’r prawf yn cystadlu â’ch cleient eich hun, yna darllenwch y llinellau SA. Triniwch y rhestr fel tystiolaeth am y cymar, nid fel bwydlen i’w galluogi i gyd ar unwaith.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Mae offer hŷn yn aml yn cynnig 3DES, SHA1 a MODP1024, oherwydd y rhain oedd y rhagosodiadau pan anfonwyd y cynnyrch ac ni wnaeth neb eu hailystyried. Cadwch allbwn crai’r sgan, gan mai dyma’r unig gofnod o’r hyn a gynigiodd y cymar y diwrnod hwnnw. Os dyma’r gorgyffwrdd cryfaf sydd ar gael, yr esgaliad cywir yw at berchennog y porth, nid at ffurfweddiad cleient sy’n ail-alluogi cryptograffeg wan i bawb.

Cyfunwch y gorgyffwrdd heb analluogi diogelwch

Rhowch yn unig y trawsffurfiadau sy’n ymddangos yn y sgan ac yn eich polisi. Mae’r enghraifft isod yn adlewyrchu porth sy’n cynnig 3DES, SHA1 a MODP1024 yng ngham 1. Sylwch ar y rhybudd am y backend: nid yw libreswan 4.x yn crynhoi’r grŵp modp1024, felly mae hyn yn berthnasol i strongSwan neu adeiladwaith libreswan â chymorth DH2. Gwiriwch y fersiwn cyn dod i’r casgliad bod y cleient wedi torri.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Mae ebychnod ar y diwedd yn pinio un cynnig. Defnyddiwch ef i ynysu prawf, yna ei dynnu fel y gall y porth drafod rhywbeth cryfach yn ddiweddarach.

Gwiriwch y daemon a’r porth cyn ceisio eto

Mae NetworkManager-l2tp yn cychwyn ei achos xl2tpd ei hun. Os yw gwasanaeth y system eisoes yn berchen ar UDP 1701, mae’r cleient yn disgyn yn ôl i borth ffynhonnell dros dro, y mae RFC 3193 yn ei ganiatáu ac y mae rhai gweinyddwyr yn ei ollwng yn ddistaw. Gwiriwch berchennog y soced cyn y cynnig nesaf.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Mae cyfrinachau a gynhyrchwyd yn hen yn achos tawel arall. Mae ffeiliau o dan /etc/ipsec.d/ a enwir ar gyfer hen gysylltiad yn gallu goroesi’r proffil a’u creodd, felly dilëwch y rhai nad oes unrhyw beth yn cyfeirio atynt a cheisiwch eto.

Yn olaf, gwiriwch o ble y daeth y cyngor. Mae ipsec.conf a ysgrifennwyd ar gyfer IKEv1 XAuth yn disgrifio math gwahanol o VPN, ac nid ei gynnig yw’r unig linell a fydd yn anghywir mewn proffil L2TP. Cofnodwch y set trawsffurfio a roesoch wrth ymyl y proffil, fel na fydd y person nesaf yn ailadrodd y prawf.