NO_PROPOSAL_CHOSEN L2TPn? Aztertu lehenengo atebidea

Erabiltzaile-izenaren gonbita agertu aurretik huts egiten duen L2TP/IPsec bezeroak ez du inoiz 1. fasea adostu. Aztertu atebidearen proposamen-multzoa zifratze-kateak itsatsi beharrean.

Erabiltzaile-izenaren gonbita ez da inoiz agertzen, eta bezeroak NO_PROPOSAL_CHOSEN jakinarazten du. Une horretan kredentzialak eta aldez aurretik partekatutako gakoa garrantzirik gabekoak dira, bi muturrek ez baitute adostu 1. fasea nola babestu. Jende gehienak linean aurkitutako zifratze-kate bat itsatsiz erantzuten du. Atebidea aztertzeak galdera berari erantzuten dio frogak erabiliz eta antzeko denbora hartzen du.

Zer baztertzen du mezuak

Baztertzea modu nagusian gertatzen da, L2TP edo PPP trukaketaren aurretik, beraz tunelean eta erabiltzaileen datu-basean ez da kontsultarik egin. 1. faseak zifratzea, osotasuna eta Diffie-Hellman talde bat negoziatzen ditu. 2. faseak datuetarako ESP proposamena negoziatzen du. 1. faseko hutsa ezin da konpondu 2. faseko PFS ezarpena aldatuta, eta osatutako IKE elkarketak ez du frogatzen ESP proposamena egokia denik.

Erregistra ezazu backend-a sintaxia editatu aurretik: ipsec --version. libreswanek eta strongSwanek algoritmo beretarako proposamenaren idazkera desberdinak onartzen dituzte.

Ondoren, irakurri baztertzea testuinguruan honekin: journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Aztertu atebidea bere transformazio-multzoaren bila

Aztergailu batek atebideari zuzenean galdetzen dio zein transformazio negoziatuko dituen. Lehenengo gelditu tokiko IPsec zerbitzua, proba zure bezeroarekin lehiatu ez dadin, eta gero irakurri SA lerroak. Hartu zerrenda beste alderdiaren froga gisa, ez dena batera pizteko menu gisa.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Gailu zaharrek sarritan 3DES, SHA1 eta MODP1024 eskaintzen dituzte, produktua bidali zenean horiek ziren balio lehenetsiak eta inork ez baitzituen berrikusi. Gorde azterketaren irteera gordina, egun horretan beste alderdiak zer eskaini zuen erregistratzen duen bakarra baita. Hori bada eskuragarri dagoen gainjartzerik indartsuena, eskalatze egokia atebidearen jabearenera da, ez kriptografia ahula denontzat berriz ere gaitzen duen bezero-konfigurazio batera.

Bat etorri gainjartzearekin segurtasuna desgaitu gabe

Sartu azterketan eta zure politikan batera agertzen diren transformazioak soilik. Beheko adibideak 1. fasean 3DES, SHA1 eta MODP1024 eskaintzen dituen atebide bat islatzen du. Kontuan hartu backend-ari buruzko oharra: libreswan 4.x-ek ez du modp1024 taldea konpilatzen, beraz hau strongSwan-i edo DH2 onarpena duen libreswan bertsio bati dagokio. Egiaztatu bertsioa bezeroa hondatuta dagoela ondorioztatu aurretik.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Amaierako harridura-marka batek proposamen bakarra finkatzen du. Erabili proba bat isolatzeko, eta gero kendu atebideak geroago zerbait indartsuagoa negoziatu ahal dezan.

Egiaztatu deabrua eta portua berriro saiatu aurretik

NetworkManager-l2tp-ek bere xl2tpd instantzia abiarazten du. Sistemako zerbitzuak UDP 1701 badauka jada, bezeroak aldi baterako iturburu-portu batera jotzen du, RFC 3193-k onartzen duena eta zerbitzari batzuek isilpean baztertzen dutena. Egiaztatu socketaren jabea hurrengo saiakera aurretik.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Sortutako sekretu zaharkituak beste arrazoi isil bat dira. Fitxategiak hemen: /etc/ipsec.d/ konexio zahar baterako izendatuta daudenak sortu zituzten profila baino gehiago iraun dezakete, beraz ezabatu ezerk erreferentziatzen ez dituenak eta saiatu berriro.

Azkenik, egiaztatu aholkua nondik datorren. ipsec.conf, IKEv1 XAuth-entzat idatzitakoa, beste VPN mota bat deskribatzen du, eta haren proposamena ez da L2TP profilean oker egongo den lerro bakarra. Erregistratu sartu duzun transformazio-multzoa profilearen ondoan, hurrengo pertsonak proba errepika ez dezan.

Erlazionatutako artikuluak