NO_PROPOSAL_CHOSEN L2TP-s? Skaneeri esmalt lüüs

L2TP/IPsec klient, mis ebaõnnestub enne kasutajanime küsimist, ei ole 1. faasis kunagi kokku leppinud. Skaneeri lüüsi pakkumuste kogumit, selle asemel et šifri stringe kleepida.

Kasutajanime küsimus ei ilmu kunagi ja klient teatab NO_PROPOSAL_CHOSEN. Sellel hetkel ei ole mandaadid ja eeljagatud võti asjakohased, sest kaks poolt ei ole kokku leppinud, kuidas 1. faasi kaitsta. Enamik inimesi vastab, kleepides internetist leitud šifri stringi. Lüüsi skaneerimine vastab samale küsimusele tõenditega ja võtab umbes sama kaua aega.

Mida teade välistab

Tagasilükkamine toimub põhirežiimis, enne mis tahes L2TP või PPP vahetust, seega ei ole tunnelit ega kasutajabaasi küsitud. 1. faas läbiräägib krüpteerimise, terviklikkuse ja Diffie-Hellmani grupi. 2. faas läbiräägib andmete ESP-pakkumise. 1. faasi tõrget ei saa parandada 2. faasi PFS-seade muutmisega, ja lõpetatud IKE-assotsiatsioon ei tõesta, et ESP-pakkumine sobib.

Enne süntaksi muutmist kirjuta üles backend: ipsec --version. libreswan ja strongSwan aktsepteerivad samade algoritmide jaoks pakkumise erinevat kirjapilti.

Seejärel loe tagasilükkamist kontekstis käsuga journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Skaneeri lüüsi selle teisenduste kogumi suhtes

Skanner küsib lüüsilt otse, milliseid teisendusi see läbiräägib. Peata esmalt kohalik IPsec-teenus, et sond ei võistleks sinu enda kliendiga, ja loe seejärel SA-read. Käsitle nimekirja tõendina vastaspoole kohta, mitte menüüna, mis tuleb tervikuna sisse lülitada.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Vanemad seadmed pakuvad sageli 3DES, SHA1 ja MODP1024, sest need olid toote tarnimise ajal vaikeväärtused ja keegi ei vaadanud neid üle. Hoia skanneri töötlemata väljund alles, sest see on ainus ülestähendus sellest, mida vastaspool sel päeval pakkus. Kui see on tugevaim saadaolev kattuvus, tuleb eskaleerida lüüsi omanikule, mitte kliendi konfiguratsioonile, mis lülitab kõigi jaoks nõrga krüptograafia uuesti sisse.

Sovita kattuvus ilma turvalisust välja lülitamata

Sisesta ainult need teisendused, mis esinevad nii skanneris kui ka sinu poliitikas. Allolev näide peegeldab lüüsi, mis pakub 1. faasis 3DES, SHA1 ja MODP1024. Pane tähele backendi märkust: libreswan 4.x ei kompileeri modp1024 gruppi, seega kehtib see strongSwani või DH2-toega libreswani buildi puhul. Kontrolli versiooni, enne kui järeldad, et klient on katki.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Lõpus olev hüüumärk kinnitab ühe pakkumise. Kasuta seda testi isoleerimiseks ja eemalda see seejärel, et lüüs saaks hiljem läbirääkida midagi tugevamat.

Kontrolli deemonit ja porti enne uuesti proovimist

NetworkManager-l2tp käivitab oma xl2tpd eksemplari. Kui süsteemiteenusel on juba UDP 1701, langeb klient tagasi juhuslikule lähteportile, mida RFC 3193 lubab ja mõned serverid vaikselt kõrvale jätavad. Kontrolli pistiku omanikku enne järgmist katset.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Aegunud genereeritud saladused on veel üks vaikne põhjus. Failid asukohas /etc/ipsec.d/ vana ühenduse nimega võivad üle elada profiili, mis need lõi, seega eemalda need, millele miski ei viita, ja proovi uuesti.

Lõpuks kontrolli, kust nõuanne pärineb. ipsec.conf, mis on kirjutatud IKEv1 XAuthi jaoks, kirjeldab teist tüüpi VPN-i ja selle pakkumine ei ole ainus rida, mis L2TP profiilis vale on. Kirjuta sisestatud teisenduste kogum profiili kõrvale, et järgmine inimene ei kordaks sondi.

Seotud artiklid