L2TP: surmav signaal 15, NO_PROPOSAL_CHOSEN ja puuduv modp1024

Ühendus hangub, klient väljub ja viimane rida ekraanil on death_handler: Fatal signal 15 received. See rida teatab katkestusest, mitte põhjusest. Üks rida ülalpool on IPsec-logis peaaegu alati NO_PROPOSAL_CHOSEN ning paar osutab vahetuse 2. faasile, kus pooled võrdlevad krüpteerimis- ja räsi valikuid ning lõpetavad, kui ühist pole. Selles etapis ei ole sisselogimisandmeid veel saadetud, seega parooli uuesti sisestamine ei saa tulemust muuta.

Linuxi kliendil tühjendavad selle lõike tavaliselt kaks asja. Kohalik deemon ei pruugi enam rakendada profiili nõutud Diffie-Hellmani gruppi või kannab profiil 2. faasi väljal 1. faasi ettepanekut. Mõlemad jätavad logisse jälje ja kumbki ei ole konto probleem.

Mida need kaks sõnumit tegelikult ütlevad

IKE läbirääkimised käivad etappide kaupa. 1. faas ehitab kaitstud kanali ja valib oma algoritmid; 2. faas, alam-SA, kannab liiklust eraldi komplekti järgi. NO_PROPOSAL_CHOSEN on teade, mille vastaja tagastab, kui ükski pakutud kombinatsioon ei ole vastuvõetav, ja see ilmub kujul [ HASH N(NO_PROP) ] INFORMATIONAL-vahetuse sees.

Signaal 15 on teine sündmus: miski käskis kohalikul protsessil peatuda ja käsitleja logis selle. Kui mõlemad read ilmuvad koos, on järjekord põhjuslik, kõigepealt keeldumine ja seejärel sulgemine.

Lugege läbirääkimist enne, kui puudutate sisselogimisandmeid

Tõstke logi taset seal, kuhu deemon kirjutab, ja ühenduge seejärel uuesti väljundit jälgides. NetworkManageri hostis annab L2TP pistikprogramm selle taseme taustarakendusele edasi ning sõnumid jõuavad sõltuvalt distributsioonist journalisse või klassikalise syslog-faili. Kumb tahes neist näitab vahetust: journalctl -f -u NetworkManager | grep -Ei 'pluto|charon|no_prop|proposal' või tail -f /var/log/syslog | grep -Ei 'pluto|charon|ike'.

Rida, mis nimetab plutot, pärineb libreswanist, charon strongSwanist, ja mõlemad kirjeldavad sama olekut eri sõnadega. Vorm, mida tasub otsida, on see, mis nimetab puuduva grupi, näiteks algorithm 'modp1024' is not supported, sest see muudab ebamäärase vea konkreetseks.

Kuhu modp1024 kadus

Diffie-Hellmani grupp 2 on nii nõrk, et mitmed distributsioonid lõpetasid selle libreswani kompileerimise alates 3.30-st. Siis nõuab aastaid tagasi kirjutatud profiil või lüüsi juhendist võetud profiil, mis loetleb ainult aes128-sha1-modp1024, kohalikult deemonilt midagi, mida see üldse teha ei suuda. Uuemad NetworkManager-l2tp buildid muudavad selle tulemuse tõenäolisemaks: alates 1.2.16 asendavad need komplekti Windows 10 ja iOSi stiilis ettepanekutega ning jätavad modp1024 välja, kui libreswan tuvastatakse. Vastaspool on sageli süütu ja pakub endiselt täpselt seda gruppi, mille te seadistasite.

Just see asümmeetria paneb vea juhuslikuna tunduma. Vanem klient ühendub, sama profiil uuendatud sülearvutis mitte, ja serveri seadistus ei ole kunagi liikunud. Kahju teeb versioonide triiv.

Kaks parandust erineva mõjualaga

Odav parandus on lõpetada algoritmide kõvakodeerimine. Tühjendage redaktoris mõlemad ettepanekuväljad ja laske pistikprogrammil valida komplekt, mille kaugem pool vastu võtab; kui lüüs toetab kaasaegseid gruppe, lõpeb läbirääkimine ilma lisatööta.

Teine parandus hoiab vana lüüsi kättesaadavana, paigaldades strongSwani, mille paketid rakendavad enamikus distributsioonides endiselt gruppi 2. See on deemonivahetus, seega maksab midagi: kontrollige, kas hosti teised tunnelid sõltuvad libreswani seadistusest, enne kui selle eemaldate, ja oodake Fedoras SELinuxi keeldumisi NetworkManageri ja strongSwani pistikprogrammi vahel. Need keeldumised ilmuvad auditilogi, mitte IKE jälje, ja seetõttu võib tunnel näida katki kohe pärast edukat paigaldust. Järjekord, mis töötab, on kõigepealt dnf install strongswan, seejärel rpm -e libreswan.

Sobivad ettepanekustringid ja nende ümber olevad lõksud

Kui väljad tuleb täita käsitsi, võtavad 1. ja 2. faas erinevad väärtused. Paar, mis teadaolevalt töötab Meraki-stiilis vastaspoole vastu, pakub 1. faasis aes128-sha1-modp1024 ja selle taga 3des-sha1-modp1024, mõlemad on suletud hüüumärgiga, mis muudab komplekti rangelt, nii et saadetakse ainult need ettepanekud.

Seejärel kitseneb 2. faas aes128-sha1 ja 3des-sha1 peale sama range markeri ja täiesti ilma Diffie-Hellmani sufiksita. 2. faasi rida, mis kannab -modp1024, on 1. faasi väärtus vales väljas, ja vastaja lükkab selle igal katsel tagasi. Kopeerige see rida teise profiili ja teine profiil ebaõnnestub samamoodi, nii saab ühest trükiveast kogu laevastikku hõlmav intsident.

Teised vead kannavad sama hüpikakent olemata ettepanekute lahknevus. KDE-s võib L2TP tüüp olla loetletud pistikprogrammi paigaldatud kujul, samal ajal kui iga ühendus kohe sureb, sest ühenduste redaktor ja käitusaja abilised tarnitakse eraldi pakettidena. Ekraanita hostid saavad töötavalt töölaualt profiili uuesti kasutada: kopeerige see asukohast /etc/NetworkManager/system-connections/, seadke režiimiks 600 ja käivitage seejärel nmcli con reload. Tõstke see üles käsuga nmcli con up id work-l2tp, kuna paljas vorm nõuab UUID-d, ja eemaldage iga aegunud ifname kirje, muidu vastab haldur Could not find source connection, samal ajal kui kõik muu on õige.

Eeljagatud võti võib olla salvestatud lihttekstina või kujul 0s, millele järgneb base64; mõlemad vormid töötavad, kuid väärtus peab lüüsiga bait-baidi haakuma, sealhulgas lõpus olevad tühikud, mille te sellega koos kopeerisite.