Ubunturen bertsio-berritzeak L2TP/IPsec hautsi du? Alderatu IKEv1 proposamenak

Konexioak ostegunean funtzionatzen zuen, bertsio-berritzea ostiralean exekutatu zen, eta astelehenean bezeroa “connecting” egoeran bueltaka ibiltzen da eta amore ematen du. Portatil bera, zerbitzari bera, kontu bera, aurrez partekatutako gako bera. Profilan ezer ez zen editatu, eta horregatik susmagarri nabarmenek, pasahitzak eta suebakiak, denbora galtzen dizute.

Aldatu dena zure makinak eskaintzeko prest dagoen transformazioen zerrenda da. Ubuntun erabiltzen diren bi IPsec pilak, strongSwan eta Libreswan, jada segurutzat jotzen ez dituzten algoritmoak ezabatzen ari dira, eta haien aurrean dagoen NetworkManager pluginak bere zerrenda propioa du, beste egutegi bati jarraituz mugitzen dena. 3DES, SHA1 eta 1024 biteko Diffie-Hellman talde batean finkatutako zerbitzari batek onartzen duen ezer ez entzutea gerta daiteke.

Zer aldatu zuen bertsio-berritzeak benetan

Bi geruzak elikatzen dute IKEv1 proposamena. Daemonak konpilatutako proposamen multzo lehenetsia dakar, eta L2TP pluginak hari uzten dio edo bere zerrenda ematen du. NetworkManager-l2tp 1.2.16 baino lehen pluginak hari uzten zion, beraz zure proposamena instalatutako daemonak egokitzat jotzen zuena zen. 1.2.16tik aurrera pluginak Windows eta Apple bezeroen arabera modelatutako zerrenda dokumentatu bat bidaltzen du, eta zerrenda hori lehenetsi zaharra baino zabalagoa da baina jada ez du ilararen aurreko kombinazio zahar guztia biltzen.

Bereizketak jendeak nahasgarritzat jotzen duen hutsegite modua azaltzen du: Ubuntu bertsio bereko bi makina desberdin joka daitezke batak banaketaren paketea duelako eta besteak backport bat, eta bien daemon bertsioa berdin agertzen delako errore-txosten batean. Egiaztatu pluginaren bertsioa, ez soilik daemonarena, bertsio-berritzeak ezer garrantzitsurik aldatu ez duela ondorioztatu aurretik.

Eremu berean tranpa txikiago bat dago. Bi daemonak desberdin idazten dituzte kurba eliptikoko Diffie-Hellman taldeak, batek ecp384 idazten du eta besteak ecp_384. Itsatsi ortografia okerra Advanced elkarrizketa-koadroan eta daemonak ezarpena aztertezintzat baztertuko du, eta hori erregistroan negoziazio arazo gisa agertzen da, ez konfigurazio akats gisa.

Irakurri hutsegitea ezer aldatu aurretik

Hasi zein backend exekutatzen ari zaren, erantzunak sintaxia eta erregistroaren kokapena ere erabakitzen baititu.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

Gero irakurri trukea bera. strongSwanen daemonak journalera idazten du uneko bertsioan eta /var/log/syslog-era zaharragoan, eta zati interesgarria bidaltzen duen proposamena da, ez azken lerroa. Proposamen parekaturik ez dagoelako testua bilatzen ari zara, eta hori algoritmo arazoa da; autentifikazio hutsegitea, gakoa edo kontua seinalatzen duena; edo itxarote-denbora soila, irisgarritasuna seinalatzen duena.

Hiru emaitza hauek sintoma bakartzat hartzen dira askotan. Daemon erregistro hutsa duen itxarote-denbora batek paketeak ez direla heltzen esan nahi du. Proposamenaren baztertzeak heldu eta ukatu egin zirela esan nahi du. Zure erregistroa isilik badago, igo pluginaren arazketa maila saiakerarako eta jaitsi gero, irteera zehatzak journala azkar betetzen baitu.

1. fasea eta 2. fasea apustu bereiziak dira

IKEv1ek birritan negoziatzen du. Modu nagusiak IKE segurtasun-elkartea eraikitzen du zifratze algoritmo batetik, osotasun algoritmo batetik, Diffie-Hellman talde batetik eta autentifikazio metodo batetik. Modu azkarrak gero L2TP eramango duen ESP elkartea eraikitzen du. Zerbitzaria aske dago lehena onartzeko eta bigarrena baztertzeko, beraz erdi zuzena den profil bat espero duzun baino beranduago huts egiten du eta beste errore baten itxura du.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

Harridura-marka strongSwanen sintaxia da sarrera zorrotzetarako: eskaini kombinazio bakarra eta beste ezer ez. Hura gabe sarrera ordezko zerrenda batean sartzen da, eta hori ondo dago parekidea modernoa denean eta kontrako efektua du politika bakarra gogorki kodetuta duen gailua denean. Hartu goiko bikotea formaren ilustrazio gisa, ez gaur eraikitzen ari zaren edozertarako gomendio gisa.

Aldatu eremu bat eta errepikatu proba

Uneko plugin batean, lehen proba azkarrena proposamen-eremu biak erabat garbitzea eta berriro konektatzea da, bidalitako lehenetsitako zerrendak Windows eta Apple kombinazio ohikoak baditu. Plugin zaharrago batean, haiek garbitzeak kontrola daemon bati itzultzen dio, eta daemon horrek zure zerbitzariak eskatutako algoritmoa baztertu izan duenez, hutsegitea okerragotzen da.

Garbitzeak laguntzen ez badu, ezarri zure zerbitzariak dokumentatzen duen bikote zorrotza, fase bana. Aldatu 1. fasea, konektatu berriro eta irakurri erregistroa 2. faseari ukitu aurretik. Kombinazio batek azkenean funtzionatzen duenean, idatzi zerbitzariaren modeloaren eta pluginaren bertsioaren ondoan, lehenetsiak berriro mugituko direlako eta ohar horrek hurrengo bertsio-berritzea bost minutuko egiaztapen bihurtzen du.