L2TP: 15 seinale hilgarria, NO_PROPOSAL_CHOSEN eta modp1024 falta da

Zure konexioa blokeatu egiten da, bezeroa irten egiten da, eta pantailako azken lerroa death_handler: Fatal signal 15 received da. Lerro horrek etetea adierazten du, ez arrazoia. Goiko lerroan, IPsec erregistroan, ia beti dago NO_PROPOSAL_CHOSEN, eta bikoteak trukearen 2. fasera seinalatzen du, non aldeek zifratze- eta hash-aukerak alderatzen dituzten eta ez dute ezer amankomunean dagoenean gelditzen. Kredentzialak ez dira oraindik bidali fase horretan, beraz pasahitza berriro idazteak ezin du emaitza aldatu.

Bi gauzek hustu ohi dute ebakidura hori Linux bezero batean. Tokiko daemonak agian jada ez du profilak eskatutako Diffie-Hellman taldea inplementatzen, edo profilak 1. faseko proposamen bat darama 2. faseko eremuan. Biek arrastoa uzten dute erregistroan, eta bat ere ez da kontu-arazoa.

Zer esaten duten bi mezuek benetan

IKEk txandaka negoziatzen du. 1. faseak kanal babestua eraikitzen du eta bere algoritmoak aukeratzen ditu; 2. faseak, SA semeak, trafikoa multzo bereizi baten pean eramaten du. NO_PROPOSAL_CHOSEN erantzuleak itzultzen duen jakinarazpena da, eskainitako konbinazioetako bat ere onargarria ez denean, eta [ HASH N(NO_PROP) ] gisa agertzen da INFORMATIONAL truke baten barruan.

15 seinalea beste gertaera bat da: zerbait tokiko prozesuari gelditzeko esan zion eta kudeatzaileak erregistratu zuen. Bi lerroak batera agertzen direnean, ordena kausala da, lehenik ukapena eta gero itzaltzea.

Irakurri negoziazioa kredentzialak ukitu aurretik

Igo erregistro-maila daemonak idazten duen tokian, eta berriz konektatu irteera behatzen duzun bitartean. NetworkManager duen ostalari batean L2TP gehigarriak maila hori backend-era pasatzen du, eta mezuak journal-era edo syslog fitxategi klasikora iristen dira banaketaren arabera. Bi hauetako edozeinek erakutsiko du trukea: journalctl -f -u NetworkManager | grep -Ei 'pluto|charon|no_prop|proposal' edo tail -f /var/log/syslog | grep -Ei 'pluto|charon|ike'.

pluto aipatzen duen lerroa libreswan-etik dator, charon strongSwan-etik, eta biek baldintza bera deskribatzen dute hitz ezberdinekin. Bilatzeko merezi duen forma falta den taldea aipatzen duena da, adibidez algorithm 'modp1024' is not supported, huts egite lauso bat zehatz bihurtzen duelako.

Nora joan zen modp1024

Diffie-Hellman 2. taldea nahiko ahula da hainbat banaketak 3.30etik aurrera libreswan-en konpilatzeari utzi ziotela. Orduan duela urteak idatzitako profil batek, edo aes128-sha1-modp1024 soilik zerrendatzen duen atebide-gida batetik hartutakoak, tokiko daemonari ezinezkoa zaion zerbait eskatzen dio. NetworkManager-l2tp-ren bertsio berriagoek emaitza hori probableagoa egiten dute: 1.2.16tik aurrera Windows 10 eta iOS estiloko proposamenez ordezkatzen dute multzoa eta modp1024 baztertu libreswan detektatu bezain laster. Kontrako aldea errugabea izan ohi da eta oraindik zuk konfiguratutako taldea bera eskaintzen du.

Asimetria horrek egiten du hutsegitea ausazkoa ematea. Bezero zaharragoak konektatzen du, eguneratutako eramangarrian profil berak ez, eta zerbitzariaren konfigurazioak ez du inoiz mugitu. Bertsio-desbideratzeak egiten du kaltea.

Bi konponketa, eragin-eremu ezberdinekoak

Konponketa merkea algoritmoak eskuz finkatzeari uztea da. Garbitu editoreko bi proposamen-eremuak eta utzi gehigarriari urrutiko aldeak onartzen duen multzo bat aukeratzen; atebideak talde modernoak onartzen baditu, negoziazioa amaitzen da lan gehiago gabe.

Bigarren konponketak atebide zaharra eskuragarri mantentzen du strongSwan instalatuz, zeinaren paketeek oraindik 2. taldea inplementatzen duten banaketa gehienetan. Hori daemon-aldaketa da, beraz zerbait kostatzen da: egiaztatu ostalariko beste tunel batzuk libreswan-en konfigurazioaren mende dauden kendu aurretik, eta espero SELinux ukoak NetworkManager eta strongSwan gehigarriaren artean Fedoran. Ukapen horiek auditoretza-erregistroan agertzen dira, ez IKE arrastoan, eta horregatik tunel bat hautsita egon daiteke instalazio arrakastatsuaren ondoren. Lan egiten duen ordena dnf install strongswan lehenengo, gero rpm -e libreswan da.

Bat datozen proposamen-kateak, eta inguruko tranpak

Eremuak eskuz bete behar direnean, 1. faseak eta 2. faseak balio ezberdinak hartzen dituzte. Meraki estiloko kontrako aldearen aurka funtzionatzen duela ezagutzen den bikote batek aes128-sha1-modp1024 eskaintzen du 1. fasean, atzetik 3des-sha1-modp1024 duela, biak harridura-marka batez itxita, multzoa zorrotz egiten duena, beraz proposamen horiek soilik bidaltzen dira.

Gero 2. fasea aes128-sha1 eta 3des-sha1-ra estutzen da, marka zorrotz berarekin eta Diffie-Hellman atzizkirik gabe. -modp1024 daraman 2. faseko lerroa okerreko eremuan dagoen 1. faseko balioa da, eta erantzuleak saiakera bakoitzean ukatzen du. Kopiatu lerro hori bigarren profil batera eta bigarren profilak modu berean huts egiten du, eta horrela akats tipografiko bat flota osoko gertaera bihurtzen da.

Beste hutsegite batzuek leiho bera eramaten dute proposamen-desadostasunak izan gabe. KDE-n L2TP mota zerrendatuta egon daiteke gehigarria instalatuta dagoela, konexio bakoitza berehala hiltzen den bitartean, konexio-editoreak eta exekuzio-denborako laguntzaileek pakete bereizi gisa bidaltzen direlako. Pantailarik gabeko ostalariek mahai-laneko profil bat berrerabil dezakete: kopiatu /etc/NetworkManager/system-connections/-tik, jarri modua 600ean, eta gero exekutatu nmcli con reload. Igo ezazu nmcli con up id work-l2tp-rekin, forma soilak UUID bat eskatzen duelako, eta kendu zaharkituta dagoen ifname sarrera oro, bestela kudeatzaileak Could not find source connection erantzuten du gainerako guztia zuzena denean.

Aurrez partekatutako gako bat testu arrunt gisa gorde daiteke edo 0s eta gero base64 gisa; bi formek funtzionatzen dute, baina balioak atebidearekin bytez byte bat etorri behar du, harekin batera kopiatu dituzun amaierako zuriuneak barne.