L2TP: comhartha marfach 15, NO_PROPOSAL_CHOSEN agus modp1024 ar iarraidh

Socraíonn do cheangal, éiríonn an cliant amach, agus is é death_handler: Fatal signal 15 received an líne dheireanach ar an scáileán. Tuairiscíonn an líne sin briseadh, ní cúis. Líne amháin níos luaithe sa log IPsec tá NO_PROPOSAL_CHOSEN beagnach i gcónaí, agus díríonn an péire ar chéim 2 an mhalartaithe, áit a gcuireann na piaraí roghanna criptithe agus haise i gcomparáid agus a stopann nuair nach bhfuil aon cheann acu i gcoiteann. Níor seoladh dintiúirí ag an gcéim sin fós, mar sin ní féidir le hathchlóscríobh an phasfhocail an toradh a athrú.

De ghnáth déanann dhá rud an t-idirghearradh sin a fholmhú ar chliant Linux. B'fhéidir nach gcuireann an daemon áitiúil an ghrúpa Diffie-Hellman i bhfeidhm a iarrann an phróifíl a thuilleadh, nó b'fhéidir go n-iompraíonn an phróifíl togra chéim 1 i réimse chéim 2. Fágann an dá rud rian sa log, agus ní fadhb cuntais ceachtar acu.

Cad a deir an dá theachtaireacht i ndáiríre

Déanann IKE idirbheartaíocht i bpasanna. Tógann céim 1 cainéal cosanta agus roghnaíonn sí a halgartaim féin; iompraíonn céim 2, an SA linbh, trácht faoi thacar ar leith. Is é NO_PROPOSAL_CHOSEN an fógra a thugann freagróir ar ais nuair nach bhfuil aon cheann de na teaglamaí a thairgtear inghlactha, agus tagann sé chun solais mar [ HASH N(NO_PROP) ] laistigh de mhalartú INFORMATIONAL.

Is imeacht eile é comhartha 15: d'iarr rud éigin ar an bpróiseas áitiúil stopadh agus chláraigh an láimhseálaí é. Nuair a thagann an dá líne le chéile, tá an t-ordú cúiseach, diúltú ar dtús agus múchadh ina dhiaidh.

Léigh an idirbheartaíocht sula mbaineann tú le dintiúirí

Ardaigh leibhéal an loga san áit a scríobhann an daemon, agus athcheangail ansin agus tú ag breathnú ar an aschur. Ar óstach NetworkManager cuireann an breiseán L2TP an leibhéal sin ar aghaidh chuig an inneall cúil, agus tagann teachtaireachtaí i dtír sa journal nó sa chomhad syslog clasaiceach ag brath ar an dáileadh. Taispeánfaidh ceachtar díobh an malartú: journalctl -f -u NetworkManager | grep -Ei 'pluto|charon|no_prop|proposal' nó tail -f /var/log/syslog | grep -Ei 'pluto|charon|ike'.

Tagann líne a ainmníonn pluto ó libreswan, charon ó strongSwan, agus cuireann an dá síos ar an riocht chéanna le focail éagsúla. Is í an fhoirm ar fiú cuardach a dhéanamh uirthi an ceann a ainmníonn an grúpa atá ar iarraidh, mar shampla algorithm 'modp1024' is not supported, mar déanann sí teip doiléir a iompú ina teip shainiúil.

Cá ndeachaigh modp1024

Tá grúpa 2 Diffie-Hellman chomh lag sin gur stop roinnt dáileadh ag cur isteach i libreswan ó 3.30 ar aghaidh. Ansin iarrann próifíl a scríobhadh blianta ó shin, nó a tógadh ó threoir geata nach liostaíonn ach aes128-sha1-modp1024, rud éigin ar an daemon áitiúil nach féidir leis a dhéanamh ar chor ar bith. Déanann builí níos nuaí NetworkManager-l2tp an toradh sin níos dóchúla: ó 1.2.16 cuireann siad tacar tograí ar stíl Windows 10 agus iOS ina n-ionad agus scaoileann siad modp1024 nuair a aimsítear libreswan. Is minic a bhíonn an ceann eile neamhchiontach agus fós ag tairiscint go díreach an ghrúpa a chumraigh tú.

Is é an neamhshiméadracht sin a fhágann go mbraitheann an teip randamach. Ceanglaíonn cliant níos sine, ní cheanglaíonn an phróifíl chéanna ar ríomhaire glúine nuashonraithe, agus níor bhog cumraíocht an fhreastalaí riamh. Is é sruthú na leaganacha a dhéanann an damáiste.

Dhá dheisiúchán le raon éagsúil

Is é an deisiúchán saor ná stopadh ag cruachódáil algartam. Glan an dá réimse togra san eagarthóir agus lig don bhreiseán tacar a roghnú a nglacann an ceann i bhfad leo; má thacaíonn an geata le grúpaí nua-aimseartha, críochnaíonn an idirbheartaíocht gan tuilleadh oibre.

Coinníonn an dara deisiúchán geata sean inrochtana trí strongSwan a shuiteáil, a bhfuil a phacáistí fós ag cur grúpa 2 i bhfeidhm ar fhormhór na ndáileadh. Is malartú daemon é sin, mar sin cosnaíonn sé rud éigin: deimhnigh an mbraitheann tolláin eile ar an óstach ar chumraíocht libreswan sula mbainfidh tú é, agus bí ag súil le diúltuithe SELinux idir NetworkManager agus breiseán strongSwan ar Fedora. Tagann na diúltuithe sin chun solais sa log iniúchta seachas sa rian IKE, agus is é sin an fáth a bhféadfadh tollán breathnú briste díreach tar éis suiteála rathúla. Is é an t-ordú a oibríonn ná dnf install strongswan ar dtús, ansin rpm -e libreswan.

Teaghráin togra a mheaitseálann, agus na gaistí timpeall orthu

Nuair a chaithfear na réimsí a líonadh de láimh, glacann céim 1 agus céim 2 luachanna éagsúla. Tairgeann péire a bhfuil a fhios agam go n-oibríonn sé i gcoinne ceann ar stíl Meraki aes128-sha1-modp1024 i gcéim 1 le 3des-sha1-modp1024 taobh thiar de, an dá cheann dúnta ag comhartha uaillbhreasa a dhéanann an tacar dian, ionas nach seoltar ach na tograí sin riamh.

Ansin caolaíonn céim 2 go aes128-sha1 agus 3des-sha1 leis an marcóir dian céanna agus gan aon iarmhír Diffie-Hellman ar chor ar bith. Is luach céim 1 é líne chéim 2 a iompraíonn -modp1024 sa réimse mícheart, agus diúltaíonn an freagróir di ar gach athiarracht. Cóipeáil an líne sin go dara próifíl agus teipeann ar an dara próifíl ar an mbealach céanna, agus is mar sin a iompaíonn clóscríobh amháin ina eachtra do na flít ar fad.

Iompraíonn lochtanna eile an fhuinneog aníos chéanna gan a bheith ina mímheaitseálacha togra. Ar KDE is féidir an cineál L2TP a bheith liostaithe leis an mbreiseán suiteáilte agus gach nasc ag fáil bháis láithreach, toisc go seoltar eagarthóir na nasc agus na cúntóirí am rite mar phacáistí ar leith. Is féidir le hóstaigh gan scáileán próifíl ó dheasc oibre a athúsáid: cóipeáil ó /etc/NetworkManager/system-connections/ í, socraigh an mód go 600, ansin rith nmcli con reload. Tóg í le nmcli con up id work-l2tp, mar is UUID a theastaíonn ón bhfoirm lom, agus bain aon iontráil ifname atá imithe i léig, nó freagraíonn an bainisteoir Could not find source connection agus gach rud eile ceart.

Is féidir eochair roinnte roimh ré a stóráil mar ghlantéacs nó mar 0s agus base64 ina dhiaidh; oibríonn an dá fhoirm, ach caithfidh an luach teacht leis an ngeata beart ar bheart, lena n-áirítear na spásanna deiridh a chóipeáil tú leis.