NO_PROPOSAL_CHOSEN L2TP:ssä? Skannaa ensin yhdyskäytävä

Käyttäjätunnuksen kehote ei koskaan ilmesty, ja asiakas raportoi NO_PROPOSAL_CHOSEN. Tunnistetiedot ja ennalta jaettu avain ovat siinä vaiheessa merkityksettömiä, koska kaksi päätä ei ole sopinut, miten vaihe 1 suojataan. Useimmat ihmiset vastaavat liittämällä salaustekstin, jonka he löysivät verkosta. Yhdyskäytävän skannaus vastaa samaan kysymykseen todisteilla ja kestää suunnilleen yhtä kauan.

Mitä viesti sulkee pois

Hylkäys tapahtuu päätilassa ennen mitään L2TP- tai PPP-vaihtoa, joten tunnelilta ja käyttäjätietokannalta ei ole kysytty mitään. Vaihe 1 neuvottelee salauksesta, eheydestä ja Diffie-Hellman-ryhmästä. Vaihe 2 neuvottelee datan ESP-ehdotuksesta. Vaiheen 1 vikaa ei korjata muuttamalla vaiheen 2 PFS-asetusta, eikä valmistunut IKE-yhteys todista, että ESP-ehdotus sopii.

Kirjaa backend ennen syntaksin muokkaamista: ipsec --version. libreswan ja strongSwan hyväksyvät samojen algoritmien ehdotuksesta erilaisia kirjoitusasuja.

Lue sitten hylkäys asiayhteydessä komennolla journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Skannaa yhdyskäytävä sen muunnosjoukon selvittämiseksi

Skanneri kysyy yhdyskäytävältä suoraan, mitä muunnoksia se aikoo neuvotella. Pysäytä ensin paikallinen IPsec-palvelu, jotta koe ei kilpaile oman asiakkaasi kanssa, ja lue sitten SA-rivit. Kohtele luetteloa todisteena vastapuolesta, älä valikkona, joka kytketään kokonaan päälle.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Vanhemmat laitteet tarjoavat usein 3DES:n, SHA1:n ja MODP1024:n, koska ne olivat oletuksia tuotteen toimitushetkellä eikä kukaan tarkastellut niitä uudelleen. Säilytä skannauksen raakatuotos, sillä se on ainoa merkintä siitä, mitä vastapuoli tarjosi sinä päivänä. Jos se on vahvin saatavilla oleva päällekkäisyys, oikea eskalaatio on yhdyskäytävän omistajalle, ei asiakasasetukseen, joka ottaa heikon salauksen uudelleen käyttöön kaikille.

Sovita päällekkäisyys poistamatta turvallisuutta käytöstä

Syötä vain ne muunnokset, jotka esiintyvät sekä skannauksessa että käytännössäsi. Alla oleva esimerkki kuvaa yhdyskäytävää, joka tarjoaa vaiheessa 1 3DES:n, SHA1:n ja MODP1024:n. Huomaa backend-varoitus: libreswan 4.x ei käännä modp1024-ryhmää, joten tämä koskee strongSwania tai libreswanin buildia, jossa on DH2-tuki. Tarkista versio ennen kuin päättelet, että asiakas on rikki.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Huutomerkki lopussa kiinnittää yhden ehdotuksen. Käytä sitä testin eristämiseen ja poista se sitten, jotta yhdyskäytävä voi myöhemmin neuvotella jotain vahvempaa.

Tarkista daemon ja portti ennen uutta yritystä

NetworkManager-l2tp käynnistää oman xl2tpd-instanssinsa. Jos järjestelmäpalvelu omistaa jo UDP 1701:n, asiakas siirtyy tilapäiseen lähdeporttiin, minkä RFC 3193 sallii ja jotkin palvelimet pudottavat hiljaa. Tarkista pistokkeen omistaja ennen seuraavaa yritystä.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Vanhentuneet generoidut salaisuudet ovat toinen hiljainen syy. Tiedostot hakemistossa /etc/ipsec.d/ vanhaan yhteyteen nimettyinä voivat elää pidempään kuin profiili, joka ne loi, joten poista ne, joihin mikään ei viittaa, ja yritä uudelleen.

Tarkista lopuksi, mistä neuvo tuli. ipsec.conf, joka on kirjoitettu IKEv1 XAuthille, kuvaa toisenlaista VPN-tyyppiä, eikä sen ehdotus ole ainoa rivi, joka on väärin L2TP-profiilissa. Kirjaa syötetty muunnosjoukko profiilin viereen, jotta seuraava henkilö ei toista koetta.