An bhris an t-uasghrádú Ubuntu L2TP/IPsec? Déan comparáid idir mholtaí IKEv1

D'oibrigh an nasc Déardaoin, ritheadh an t-uasghrádú Dé hAoine, agus Dé Luain bíonn an cliant ag casadh ag “connecting” agus géilleann sé. An ríomhaire glúine céanna, an freastalaí céanna, an cuntas céanna, an eochair chomhroinnte chéanna. Níor cuireadh aon rud sa phróifíl in eagar, agus sin é an fáth a gcaitheann na hamhrasáin fhollasacha, an focal faire agus an balla dóiteáin, do chuid ama.

Is é an rud a d'athraigh ná an liosta claochluithe atá do mheaisín sásta a thairiscint. Baineann an dá stac IPsec a úsáidtear ar Ubuntu, strongSwan agus Libreswan, algartaim a dhíscríobh nach measann siad a bheith sábháilte a thuilleadh, agus tá a liosta féin ag an bhforlíonadh NetworkManager atá os a gcomhair, a ghluaiseann ar amchlár difriúil. Is féidir le freastalaí atá ceangailte le 3DES, SHA1 agus grúpa Diffie-Hellman 1024-giotán gan aon rud a chloisteáil a nglacann sé leis.

Cad a d'athraigh an t-uasghrádú i ndáiríre

Cothaíonn dhá shraith an moladh IKEv1. Soláthraíonn an daemon tacar moltaí réamhshocraithe atá comhthiomsaithe, agus bíonn an forlíonadh L2TP ag brath air nó ag soláthar a liosta féin. Roimh NetworkManager-l2tp 1.2.16 bhí an forlíonadh ag brath air, mar sin ba é do mholadh an rud a mheas an daemon suiteáilte a bheith réasúnach. Ó 1.2.16 ar aghaidh seolann an forlíonadh liosta dhoiciméadaithe atá múnlaithe ar chliaint Windows agus Apple, agus tá an liosta sin níos leithne ná an seanréamhshocrú ach ní chuimsíonn sé a thuilleadh gach meascán oidhreachta ag tosach na scuaine.

Míníonn an deighilt sin mód teipe a mbíonn daoine mearbhall orthu: is féidir le dhá mheaisín ar an eisiúint Ubuntu céanna iompar go difriúil toisc go bhfuil an pacáiste dáileacháin ag ceann amháin agus backport ag an gceann eile, agus breathnaíonn leagan an daemon ar an dá cheann mar an gcéanna i dtuarascáil fabht. Seiceáil leagan an fhorlíonadh, ní hamháin leagan an daemon, sula dtagann tú chun críche nár athraigh an t-uasghrádú aon rud ábhartha.

Tá gaiste níos lú sa réimse céanna. Scríobhann an dá daemon na grúpaí Diffie-Hellman cuar éilipseach ar bhealaí éagsúla, scríobhann ceann ecp384 agus an ceann eile ecp_384. Greamaigh an mhílitriú sa dialóg Advanced agus diúltaíonn an daemon don socrú mar rud nach féidir a pharsáil, rud a fheictear sa logáil mar fhadhb idirbheartaithe seachas mar chlóearráid sa chumraíocht.

Léigh an teip sula n-athraíonn tú aon rud

Tosaigh leis an gcúlsheirbhís atá á rith agat, mar socraíonn an freagra an chomhréir agus suíomh na logála araon.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

Ansin léigh an mhalartú féin. Ar strongSwan scríobhann an daemon chuig an journal ar eisiúint reatha agus chuig /var/log/syslog ar cheann níos sine, agus is é an moladh a sheolann sé an chuid spéisiúil, ní an líne dheireanach. Tá tú ag lorg foclaíochta faoi aon mholadh comhoiriúnach, ar fadhb algartaim í; teip fíordheimhnithe, a dhíríonn ar an eochair nó ar an gcuntas; nó teorainn ama shimplí, a dhíríonn ar inrochtaineacht.

Caitear leis na trí thoradh seo mar aon siomptóm i bhfad rómhinic. Ciallaíonn teorainn ama le logáil daemon folamh nach bhfuil na paicéid ag teacht. Ciallaíonn diúltú an mholta go dteachaidar agus gur diúltaíodh dóibh. Má tá do logáil ciúin, ardaigh leibhéal dífhabhtaithe an fhorlíonadh ar feadh aon iarrachta amháin agus ísligh ina dhiaidh é, mar líonann an t-aschur foclach an journal go tapa.

Is geallta ar leith iad céim 1 agus céim 2

Caithfidh IKEv1 idirbheartú faoi dhó. Tógann an príomhmhód an chomhlachas slándála IKE ó algartam criptithe, algartam iomláine, grúpa Diffie-Hellman agus modh fíordheimhnithe. Ansin tógann an mód tapa an comhlachas ESP a iompraíonn L2TP. Tá an freastalaí saor chun an chéad cheann a ghlacadh agus an dara ceann a dhiúltú, mar sin teipeann ar phróifíl leathcheart níos déanaí ná mar a mbíonn súil agat agus breathnaíonn sé cosúil le fabht eile.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

Is comhréir strongSwan é an comhartha uaillbhreasa le haghaidh iontrála dhiana: tairg an meascán amháin seo agus faic eile. Gan é téann an iontráil isteach i liosta chúltaca, rud atá go maith nuair a bhíonn an piara nua-aimseartha agus frith-tháirgiúil nuair is fearas é a bhfuil beartas amháin crua-chódáilte aige. Féach ar an bpéire thuas mar léiriú ar an bhfoirm, ní mar mholadh d'aon rud a bhíonn á thógáil agat inniu.

Athraigh réimse amháin, ansin déan an tástáil arís

Ar fhorlíonadh reatha, is é an chéad tástáil is tapúla an dá réimse molta a ghlanadh go hiomlán agus athcheangal, mar tá na meascáin choitianta Windows agus Apple san áireamh cheana sa liosta réamhshocraithe a sholáthraítear. Ar fhorlíonadh níos sine, tugann a nglanadh an smacht ar ais do dhaemon a bhfuil an t-algartam a éilíonn do fhreastalaí b'fhéidir tar éis é a chaitheamh amach, agus éiríonn an teip níos measa.

Mura gcabhraíonn an glanadh, socraigh an péire dian a dhoiciméadaíonn do fhreastalaí, céim amháin ag an am. Athraigh céim 1, athcheangail, agus léigh an logáil sula dteagmhaíonn tú le céim 2. Nuair a oibríonn meascán ar deireadh, scríobh síos é in aice le múnla an fhreastalaí agus leagan an fhorlíonadh, mar beidh na réamhshocruithe ag bogadh arís agus is í an nóta sin a chasann an chéad uasghrádú eile ina sheiceáil cúig nóiméad.