L2TP NO_PROPOSAL_CHOSEN: ποια φάση απέτυχε στην πραγματικότητα;
Η ειδοποίηση λέει ότι απορρίφθηκε μια πρόταση, όχι ποια. Διαβάστε το αρχείο καταγραφής του backend για τη φάση και μετά συγκρίνετε τις σουίτες με όποιον διαχειρίζεται την πύλη.
Το NO_PROPOSAL_CHOSEN φτάνει πριν ελεγχθεί οποιοδήποτε όνομα χρήστη PPP, γεγονός χρήσιμο και ταυτόχρονα ο λόγος που το μήνυμα παραπλανά. Αναφέρει ότι η μία πλευρά απέρριψε μια πρόταση· δεν αναφέρει ποια παράμετρος διαφώνησε και δεν λέει τίποτα για το αν η απόρριψη συνέβη κατά την κατασκευή της συσχέτισης IKE ή αργότερα κατά τη διαπραγμάτευση της προστασίας της κίνησης. Πίσω από αυτές τις δύο πιθανότητες βρίσκονται δύο διαφορετικές διορθώσεις και μόνο μία από αυτές αφορά το πλαίσιο ελέγχου PFS στο οποίο καταφεύγουν πρώτα οι άνθρωποι.
Ένα μήνυμα, δύο σύνολα προτάσεων
Η διάταξη IKEv1 L2TP/IPsec έχει δύο διαπραγματεύσεις διαδοχικά. Η φάση 1 χτίζει τη συσχέτιση ασφαλείας IKE από έναν αλγόριθμο κρυπτογράφησης, έναν αλγόριθμο ακεραιότητας και μια ομάδα Diffie-Hellman. Στη συνέχεια η φάση 2 διαπραγματεύεται πώς προστατεύεται η κίνηση και η απαίτηση PFS ανήκει σε εκείνη τη δεύτερη συνομιλία.
| Phase | What is agreed | What a rejection here means |
|---|---|---|
| Phase 1 | Encryption, integrity, DH group for the IKE SA | No management tunnel exists, so nothing later can run |
| Phase 2 | ESP transforms plus the PFS group policy | The IKE SA negotiates, then child negotiation fails |
Επειδή οι φάσεις είναι διαδοχικές, η θέση της αποτυχίας σας λέει ποια λίστα να συγκρίνετε. Σε αυτό βρίσκεται όλη η διαγνωστική αξία του μηνύματος και αξίζει να την εξαγάγετε πριν αγγίξετε οποιαδήποτε ρύθμιση.
Γιατί ένα πλαίσιο ελέγχου PFS δεν μπορεί να επισκευάσει τη φάση 1
Η απενεργοποίηση του PFS αλλάζει μια ιδιότητα της φάσης 2. Αν οι δύο πλευρές δεν συμφώνησαν ποτέ στη φάση 1, η συνομιλία ESP δεν γίνεται ποτέ, άρα το πλαίσιο ελέγχου δεν έχει καμία απολύτως επίδραση στην απόρριψη και γι' αυτό η εναλλαγή του παράγει το ίδιο σφάλμα με διαφορετική χρονική σήμανση.
Το αντίστροφο λάθος είναι εξίσου συνηθισμένο. Μια επιτυχημένη συσχέτιση IKE δεν αποδεικνύει ότι η πρόταση ESP είναι αποδεκτή και σίγουρα δεν αποδεικνύει ότι η ομάδα της φάσης 2 ταιριάζει. Αντιμετωπίστε μια εγκατεστημένη σήραγγα διαχείρισης ως απόδειξη μόνο για τη φάση 1. Οι άνθρωποι διαβάζουν την πράσινη γραμμή ως «η σήραγγα είναι ενεργή» και μετά περνούν μια ώρα σε λάθος φάση επειδή τίποτα δεν τους είπε ότι η δεύτερη διαπραγμάτευση δεν είχε ξεκινήσει.
Διαβάστε το αρχείο καταγραφής πριν επιλέξετε αλγόριθμους
Συλλέξτε τα μηνύματα αμέσως πριν από την απόρριψη από το backend που πραγματικά χειρίζεται τη σύνδεση και συσχετίστε τα με την ίδια απόπειρα. Χωρίς αυτή τη συσχέτιση διαβάζετε το ιστορικό μιας άλλης σύνδεσης και βγάζετε συμπεράσματα από αυτό.
journalctl -b -u NetworkManager --since "10 min ago"
ipsec statusall # strongSwan
ipsec whack --status # LibreswanΑπό αυτές τις γραμμές, απαντήστε σε δύο ερωτήσεις: εγκαταστάθηκε συσχέτιση φάσης 1 και ποια ανταλλαγή απέτυχε. Αυτές οι δύο απαντήσεις περιορίζουν την αναζήτηση σε μία λίστα χαρακτηριστικών. Μια γυμνή ειδοποίηση χωρίς περιβάλλον δεν μπορεί να το κάνει, όσο δελεαστικό κι αν είναι να δοκιμάσετε μια πρόταση από ένα νήμα φόρουμ. Η αντιγραφή ενός λειτουργικού αλφαριθμητικού από μηχάνημα με άλλο backend συνήθως αντικαθιστά μια απόρριψη με άλλη, λίγο αργότερα.
Η σύνταξη του backend δεν ταξιδεύει
Καταγράψτε την έκδοση του NetworkManager-l2tp και την έκδοση του backend IPsec πριν συγκρίνετε οτιδήποτε. Το Libreswan και το strongSwan δεν μοιράζονται σύνταξη προτάσεων ούτε πανομοιότυπα σύνολα αλγορίθμων, οπότε ένα αλφαριθμητικό που λειτουργεί στο ένα είναι συντακτικό σφάλμα στο άλλο. Το εγκατεστημένο backend μπορεί επίσης να αρνείται το IKEv1 βάσει πολιτικής, οπότε καμία πρόταση δεν θα γίνει ποτέ δεκτή.
Το README του έργου τεκμηριώνει αυτές τις διαφορές μεταξύ backend και κρατά χωριστά τα πεδία της φάσης 1 και της φάσης 2. Διαβάστε το ως τεκμηρίωση δομής, όχι ως πρόσκληση να ενεργοποιήσετε κάθε ιστορικό κρυπτογράφημα και μια αδύναμη ομάδα, γιατί μια σύνδεση που πετυχαίνει μόνο έτσι δεν είναι η σύνδεση που σας ζητήθηκε να φτιάξετε.
Συμφωνήστε τη σουίτα και μετά επαληθεύστε τα στάδια
Ρωτήστε τον διαχειριστή της πύλης ποιες σουίτες IKE και ESP υποστηρίζονται και έχουν εγκριθεί και μετά συγκρίνετε εκείνη την απάντηση με τις πραγματικές προτάσεις του πελάτη και όχι με το αρχείο ρυθμίσεών του. Αν η διαφωνία αφορά ειδικά το PFS της φάσης 2, καταλήξτε σε μια υποστηριζόμενη ομάδα ή σε μια ρητά εγκεκριμένη πολιτική χωρίς PFS. Μην συνάγετε την πολιτική από το όνομα του σφάλματος.
Όταν η μόνη επικάλυψη απαιτεί κρυπτογραφία που ο οργανισμός δεν δέχεται πλέον, η απόφαση ανήκει στην πύλη ή σε μια μετάβαση πρωτοκόλλου. Το να διευρύνετε το αλφαριθμητικό του πελάτη μέχρι να διαπραγματευτεί κάτι είναι τρόπος να παραδώσετε μια γνωστή αδυναμία με ένα πράσινο τικ δίπλα της.
Αφού διορθώσετε την πραγματική απόκλιση, επιβεβαιώστε την εγκατάσταση IPsec πριν ερευνήσετε το L2TP και το PPP και αντιμετωπίστε κάθε μεταγενέστερη απόρριψη ταυτοποίησης ως ανήκουσα στο επόμενο στάδιο. Στη συνέχεια δοκιμάστε την ανανέωση στην εγκεκριμένη διαδικασία δοκιμών, γιατί η εγκατάσταση της πρώτης συσχέτισης δεν λέει τίποτα για το υπόλοιπο της ζωής της.