NO_PROPOSAL_CHOSEN ar L2TP? Scanáil an geata ar dtús

Ní thagann an leid ainm úsáideora riamh, agus tuairiscíonn an cliant NO_PROPOSAL_CHOSEN. Tá dintiúir agus an eochair roinnte roimh ré neamhábhartha ag an bpointe sin, mar níl an dá cheann tar éis aontú conas céim 1 a chosaint. Freagraíonn formhór na ndaoine trí theaghrán sifir a ghreamú a fuaireadar ar líne. Freagraíonn scanadh ar an ngeata an cheist chéanna le fianaise agus tógann sé thart ar an am céanna.

Cad a chuireann an teachtaireacht as an áireamh

Tarlaíonn an diúltú sa phríomhshamhail, roimh aon mhalartú L2TP nó PPP, mar sin níor ceistíodh an tollán ná an bunachar úsáideoirí. Déanann céim 1 idirbheartaíocht ar chriptiú, ar iomláine agus ar ghrúpa Diffie-Hellman. Déanann céim 2 idirbheartaíocht ar an moladh ESP do na sonraí. Ní féidir teip i gcéim 1 a réiteach trí shocrú PFS i gcéim 2 a athrú, agus ní chruthaíonn comhlachas IKE críochnaithe go n-oireann an moladh ESP.

Taifead an backend sula n-athraíonn tú an chomhréir: ipsec --version. Glacann libreswan agus strongSwan le litrithe éagsúla den mholadh do na halgartaim chéanna.

Ansin léigh an diúltú ina chomhthéacs le journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Scanáil an geata dá thacar claochluithe

Fiafraíonn scanóir den gheata go díreach cé na claochluithe a dhéanfaidh sé a idirbheartú. Stop an tseirbhís IPsec áitiúil ar dtús ionas nach mbeidh an tástáil in iomaíocht le do chliant féin, ansin léigh na línte SA. Caith leis an liosta mar fhianaise faoin gcomhghleacaí, ní mar roghchlár le gníomhachtú go hiomlán.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Is minic a thugann fearais níos sine 3DES, SHA1 agus MODP1024, mar ba iad sin na réamhshocruithe nuair a seoladh an táirge agus níor athbhreithnigh éinne iad. Coinnigh aschur amh an scan, mar is é an t-aon taifead é ar an méid a thairg an comhghleacaí an lá sin. Más é sin an forluí is láidre atá ar fáil, is chuig úinéir an gheata atá an t-escalú ceart, ní chuig cumraíocht cliaint a athchuireann cripteagrafaíocht lag ar siúl do gach duine.

Meaitseáil an forluí gan an tslándáil a dhíghníomhachtú

Ná cuir isteach ach na claochluithe a thagann sa scan agus i do pholasaí araon. Léiríonn an sampla thíos geata a thugann 3DES, SHA1 agus MODP1024 i gcéim 1. Tabhair faoi deara an choinníoll faoin backend: ní thiomsaíonn libreswan 4.x an grúpa modp1024, mar sin baineann sé seo le strongSwan nó le tógáil libreswan a bhfuil tacaíocht DH2 aici. Fíoraigh an leagan sula dtagann tú ar an gconclúid go bhfuil an cliant briste.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Ceanglaíonn comhartha uaillbhreasa ag an deireadh moladh amháin. Úsáid é chun tástáil a leithlisiú, ansin bain é ionas go bhféadfaidh an geata rud níos láidre a idirbheartú níos déanaí.

Seiceáil an daemon agus an port sula ndéanann tú iarracht arís

Tosaíonn NetworkManager-l2tp a chás xl2tpd féin. Má tá UDP 1701 ag seirbhís an chórais cheana féin, filleann an cliant ar phort foinse éadrom, rud a cheadaíonn RFC 3193 agus a scaoileann roinnt freastalaithe go ciúin. Seiceáil úinéir an socket roimh an gcéad iarracht eile.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Is cúis chiúin eile iad rúin ghinte atá as dáta. Na comhaid faoi /etc/ipsec.d/ atá ainmnithe do sheancheangal is féidir leo maireachtáil níos faide ná an próifíl a chruthaigh iad, mar sin bain na cinn nach ndéanann aon rud tagairt dóibh agus déan iarracht arís.

Ar deireadh, seiceáil cá as a dtáinig an chomhairle. ipsec.conf a scríobhadh do IKEv1 XAuth, cuireann sé síos ar chineál VPN eile, agus ní hé a mholadh an t-aon líne a bheidh mícheart i bpróifíl L2TP. Taifead an tacar claochluithe a chuir tú isteach in aice leis an bpróifíl, ionas nach ndéanfaidh an chéad duine eile an tástáil a athdhéanamh.