L2TP NO_PROPOSAL_CHOSEN: pa gam a fethodd mewn gwirionedd?
Mae'r hysbysiad yn dweud bod cynnig wedi'i wrthod, nid pa un. Darllenwch log y backend am y cam, yna cymharwch y setiau â phwy bynnag sy'n rhedeg y porth.
Mae NO_PROPOSAL_CHOSEN yn cyrraedd cyn i unrhyw enw defnyddiwr PPP gael ei archwilio, sy'n ffaith ddefnyddiol ac hefyd yn rheswm pam mae'r neges yn camarwain. Mae'n adrodd bod un ochr wedi gwrthod cynnig; nid yw'n adrodd pa baramedr oedd yn anghytuno, ac nid yw'n dweud dim am a ddigwyddodd y gwrthodiad wrth adeiladu'r gymdeithas IKE neu'n hwyrach wrth drafod amddiffyniad y traffig. Mae dau atgyweiriad gwahanol y tu ôl i'r ddau bosibilrwydd hynny, a dim ond un ohonynt sy'n ymwneud â'r blwch ticio PFS y mae pobl yn ei gyrraedd gyntaf.
Un neges, dwy set o gynigion
Mae trefniant IKEv1 L2TP/IPsec yn cynnwys dau drafodaeth yn olynol. Mae cam 1 yn adeiladu'r gymdeithas diogelwch IKE o algorithm amgryptio, algorithm cyfanrwydd a grŵp Diffie-Hellman. Yna mae cam 2 yn trafod sut y caiff y traffig ei amddiffyn, ac mae'r gofyniad PFS yn perthyn i'r ail sgwrs honno.
| Phase | What is agreed | What a rejection here means |
|---|---|---|
| Phase 1 | Encryption, integrity, DH group for the IKE SA | No management tunnel exists, so nothing later can run |
| Phase 2 | ESP transforms plus the PFS group policy | The IKE SA negotiates, then child negotiation fails |
Gan fod y camau'n olynol, mae safle'r methiant yn dweud wrthych ba restr i'w chymharu. Dyna holl werth diagnostig y neges, ac mae'n werth ei dynnu allan cyn cyffwrdd â gosodiad.
Pam na all blwch ticio PFS atgyweirio cam 1
Mae analluogi PFS yn newid priodwedd cam 2. Os na chytunodd y partïon erioed ar gam 1, ni fydd y sgwrs ESP yn digwydd o gwbl, felly nid oes gan y blwch ticio unrhyw effaith ar y gwrthodiad, a dyna pam mae ei thoglo yn cynhyrchu'r un gwall â stamp amser gwahanol.
Mae'r camgymeriad gwrthwyneb yr un mor gyffredin. Nid yw cymdeithas IKE lwyddiannus yn profi bod cynnig ESP yn dderbyniol, ac yn bendant nid yw'n profi bod grŵp cam 2 yn cyfateb. Triniwch dwnnel rheoli sydd wedi'i sefydlu fel tystiolaeth am gam 1 yn unig. Mae pobl yn darllen y llinell werdd fel «mae'r twnnel i fyny», ac yna'n treulio awr ar y cam anghywir oherwydd ni ddywedodd unrhyw beth wrthynt nad oedd yr ail drafodaeth wedi dechrau.
Darllenwch y log cyn dewis algorithmau
Casglwch y negeseuon sy'n union o flaen y gwrthodiad o'r backend sy'n trin y cysylltiad mewn gwirionedd, a chydberthnwch hwy â'r un ymgais. Heb y gydberthynas honno rydych yn darllen hanes cysylltiad arall ac yn tynnu casgliadau ohono.
journalctl -b -u NetworkManager --since "10 min ago"
ipsec statusall # strongSwan
ipsec whack --status # LibreswanO'r llinellau hynny, atebwch ddau gwestiwn: a sefydlwyd cymdeithas cam 1, a pha gyfnewidiad a fethodd. Mae'r ddau ateb hynny'n cyfyngu'r chwilio i un rhestr o briodoleddau. Ni all hysbysiad moel heb gyd-destun o'i amgylch wneud hynny, waeth pa mor ddeniadol yw ceisio cynnig o edefyn fforwm. Mae copïo llinyn sy'n gweithio o beiriant â backend gwahanol fel arfer yn disodli un gwrthodiad ag un arall, ychydig yn hwyrach.
Nid yw cystrawen y backend yn teithio
Cofnodwch fersiwn NetworkManager-l2tp a fersiwn backend IPsec cyn cymharu unrhyw beth. Nid yw Libreswan a strongSwan yn rhannu cystrawen cynnig na setiau algorithm union yr un fath, felly mae llinyn sy'n gweithio yn un ohonynt yn wall cystrawen yn y llall. Gall y backend sydd wedi'i osod hefyd wrthod IKEv1 yn ôl polisi, ac yna ni fydd unrhyw gynnig byth yn cael ei dderbyn.
Mae README y prosiect yn dogfennu'r gwahaniaethau backend hynny ac yn cadw meysydd cam 1 a cham 2 ar wahân. Darllenwch ef fel dogfennaeth o strwythur, nid fel gwahoddiad i alluogi pob sifr hanesyddol a grŵp gwan, oherwydd nid y cysylltiad y gofynnwyd i chi ei adeiladu yw cysylltiad sy'n llwyddo dim ond drwy wneud hynny.
Cytunwch ar y set, yna gwiriwch y camau
Gofynnwch i weithredwr y porth pa setiau IKE ac ESP sy'n cael eu cefnogi a'u cymeradwyo, yna cymharwch yr ateb hwnnw â chynigion effeithiol y cleient yn hytrach nag â'i ffeil ffurfweddu. Os yw'r anghytundeb yn ymwneud yn benodol â PFS cam 2, setlwch ar grŵp a gefnogir neu ar bolisi dim-PFS a gymeradwywyd yn benodol. Peidiwch â chasglu'r polisi o enw'r gwall.
Pan fo'r unig orgyffwrdd yn gofyn am grifftograffeg nad yw'r sefydliad yn ei derbyn mwyach, mae'r penderfyniad yn perthyn i'r porth neu i ymfudo protocol. Mae lledu llinyn y cleient nes bod rhywbeth yn trafod yn ffordd o gludo gwendid hysbys gyda thic gwyrdd wrth ei ochr.
Ar ôl cywiro'r gwir anghysondeb, cadarnhewch sefydlu IPsec cyn ymchwilio i L2TP a PPP, a thriniwch unrhyw wrthodiad dilysu diweddarach fel un sy'n perthyn i'r cam nesaf. Yna profwch adnewyddu yn y broses brofi a gymeradwywyd, oherwydd nid yw sefydlu'r gymdeithas gyntaf yn dweud dim am weddill ei hoes.