L2TP NO_PROPOSAL_CHOSEN: hokker faze is eins mislearre?
De melding seit dat in foarstel ôfwiisd is, net hokker. Lês it log fan de backend foar de faze en fergelykje dêrnei de sets mei wa't de gateway beheart.
NO_PROPOSAL_CHOSEN komt foardat hokker PPP-brûkersnamme dan ek ûndersocht wurdt, wat in nuttich feit is en ek de reden dat de melding misliedt. It meldt dat ien kant in foarstel ôfwiisd hat; it meldt net hokker parameter ferskilde en it seit neat oer de fraach oft de ôfwizing barde by it bouwen fan de IKE-assoasje of letter by it ûnderhanneljen fan de ferkearsbeskerming. Achter dy beide mooglikheden steane twa ferskillende ferbetterings, en mar ien dêrfan giet oer it PFS-karflak dêr't minsken earst nei ta stappe.
Ien melding, twa sets foarstellen
De IKEv1 L2TP/IPsec-regeling hat twa ûnderhannelingen efterinoar. Faze 1 bout de IKE-feiligensassoasje út in fersiferingsalgoritme, in yntegriteitsalgoritme en in Diffie-Hellman-groep. Faze 2 ûnderhannelet dêrnei hoe't it ferkear beskerme wurdt, en de PFS-eask heart by dat twadde petear.
| Phase | What is agreed | What a rejection here means |
|---|---|---|
| Phase 1 | Encryption, integrity, DH group for the IKE SA | No management tunnel exists, so nothing later can run |
| Phase 2 | ESP transforms plus the PFS group policy | The IKE SA negotiates, then child negotiation fails |
Om't de fazen opinoar folgje, fertelt it plak fan it mislearjen hokker list jo fergelykje moatte. Dêryn sit de hiele diagnostyske wearde fan de melding, en it is de muoite wurdich dy derút te heljen foardat jo in ynstelling oanreitsje.
Wêrom't in PFS-karflak faze 1 net reparearje kin
PFS útskeakelje feroaret in eigenskip fan faze 2. As de partijen it nea iens wurden binne oer faze 1, bart it ESP-petear hielendal net, dus it karflak hat gjin inkeld effekt op de ôfwizing, en dêrom jout it omskeakeljen deselde flater mei in oare tiidstimpel.
De omkearde flater is like gewoan. In slagge IKE-assoasje bewiist net dat it ESP-foarstel akseptabel is, en it bewiist perfoarst net dat de groep fan faze 2 oerienkomt. Behannelje in oanleine beheartunnel as bewiis allinnich oer faze 1. Minsken lêze de griene rigel as «de tunnel is omheech», en bringe dan in oere troch yn 'e ferkearde faze om't neat har sein hie dat de twadde ûnderhanneling net begûn wie.
Lês it log foardat jo algoritmes kieze
Sammelje de meldingen fuort foar de ôfwizing fan 'e backend dy't de ferbining wier beheart, en korrelearje se mei deselde poging. Sûnder dy korrelaasje lêze jo de skiednis fan in oare ferbining en lûke jo dêrút konklúzjes.
journalctl -b -u NetworkManager --since "10 min ago"
ipsec statusall # strongSwan
ipsec whack --status # LibreswanBeäntwurdzje út dy rigels twa fragen: kaam der in assoasje foar faze 1 ta stân, en hokker útwikseling mislearre. Dy beide antwurden ferfine it sykjen ta ien list attributen. In bleate melding sûnder kontekst om har hinne kin dat net, hoe ferloklik it ek is om in foarstel út in foarumtried te besykjen. It kopiearjen fan in wurkjende tekenrige fan in masine mei in oare backend ferfangt meastentiids de iene ôfwizing troch in oare, wat letter.
Backend-syntaks reizget net mei
Skriuw de ferzje fan NetworkManager-l2tp en de ferzje fan 'e IPsec-backend op foardat jo wat dan ek fergelykje. Libreswan en strongSwan diele gjin foarstel-syntaks of identike algoritmesets, dus in tekenrige dy't yn 'e iene wurket is in syntaksflater yn 'e oare. De ynstallearre backend kin IKEv1 ek per belied wegerje, en dan wurdt gjin inkeld foarstel ea akseptearre.
De README fan it projekt dokumintearret dy backend-ferskillen en hâldt de fjilden fan faze 1 en faze 2 skieden. Lês it as dokumintaasje fan de struktuer, net as in útnoeging om elke histoaryske sifer en in swakke groep oan te setten, want in ferbining dy't allinnich sa slagget is net de ferbining dy't jo freegje om te bouwen.
Ienigens oer de set, hifkje dêrnei de stadia
Freegje de gateway-behearder hokker IKE- en ESP-sets stipe en goedkard binne, en fergelykje dat antwurd dan mei de effektive foarstellen fan 'e klant ynstee fan mei syn konfiguraasjebestân. As it skeel spesifyk oer PFS fan faze 2 giet, kies dan in stipe groep of in eksplisyt goedkard belied sûnder PFS. Lûk it belied net út 'e namme fan 'e flater.
As de iennichste oerlaap kryptografy easket dy't de organisaasje net mear akseptearret, heart it beslút by de gateway of by in protokolmigraasje. De klanttekenrige ferbreedzje oant eat ûnderhannelt is in manier om in bekende swakke punt te leverjen mei in grien fluitstien njonken.
Nadat jo de echte ôfwiking ferbettere hawwe, befêstigje dan de IPsec-oanlis foardat jo L2TP en PPP ûndersykje, en behannelje elke lettere autentikaasje-ôfwizing as hearrend by de folgjende stap. Test dan fernijing yn it goedkarde testproses, want it oanlizzen fan 'e earste assoasje seit neat oer de rest fan syn libbensdoer.