L2TP: ઘાતક સિગ્નલ 15, NO_PROPOSAL_CHOSEN અને ખૂટતું modp1024

તમારું કનેક્શન અટકી જાય છે, ક્લાયન્ટ બહાર નીકળે છે, અને સ્ક્રીન પરની છેલ્લી લાઇન death_handler: Fatal signal 15 received છે. એ લાઇન અટકાવની જાણ કરે છે, કારણની નહીં. IPsec લોગમાં એક લાઇન ઉપર લગભગ હંમેશા NO_PROPOSAL_CHOSEN હોય છે, અને આ જોડી ફેરબદલના ફેઝ 2 તરફ ઇશારો કરે છે, જ્યાં બંને પક્ષો એન્ક્રિપ્શન અને હેશની પસંદગીઓ સરખાવે છે અને જ્યારે કોઈ સામાન્ય ન હોય ત્યારે અટકી જાય છે. એ તબક્કે ઓળખપત્રો હજી મોકલાયા નથી, તેથી પાસવર્ડ ફરી લખવાથી પરિણામ બદલાઈ શકતું નથી.

Linux ક્લાયન્ટ પર સામાન્ય રીતે બે વસ્તુઓ એ છેદ ખાલી કરે છે. સ્થાનિક ડિમન પ્રોફાઇલ માંગતું Diffie-Hellman જૂથ હવે લાગુ કરતું ન હોઈ શકે, અથવા પ્રોફાઇલ ફેઝ 1નો પ્રસ્તાવ ફેઝ 2ના ક્ષેત્રમાં ધરાવતું હોઈ શકે. બંને લોગમાં પુરાવો છોડે છે, અને એમાંથી કોઈ ખાતાની સમસ્યા નથી.

બંને સંદેશા ખરેખર શું કહે છે

IKE પાસમાં વાટાઘાટ કરે છે. ફેઝ 1 સુરક્ષિત ચેનલ બનાવે છે અને પોતાના અલ્ગોરિધમ પસંદ કરે છે; ફેઝ 2, બાળ SA, અલગ સમૂહ હેઠળ ટ્રાફિક વહન કરે છે. NO_PROPOSAL_CHOSEN એ સૂચના છે જે જવાબ આપનાર ત્યારે પાછી મોકલે છે જ્યારે આપેલા સંયોજનોમાંથી કોઈ સ્વીકાર્ય ન હોય, અને તે INFORMATIONAL આદાનપ્રદાનની અંદર [ HASH N(NO_PROP) ] તરીકે દેખાય છે.

સિગ્નલ 15 અલગ ઘટના છે: કંઈકે સ્થાનિક પ્રક્રિયાને અટકવા કહ્યું અને હેન્ડલરે તે નોંધ્યું. જ્યારે બંને લાઇન સાથે દેખાય ત્યારે ક્રમ કારણભૂત છે, પહેલા નકાર અને પછી બંધ.

ઓળખપત્રોને સ્પર્શતા પહેલા વાટાઘાટ વાંચો

ડિમન જ્યાં લખે છે ત્યાં લોગ સ્તર વધારો, પછી આઉટપુટ જોતાં જોતાં ફરી કનેક્ટ થાઓ. NetworkManager હોસ્ટ પર L2TP પ્લગઇન એ સ્તર બેકએન્ડને આપે છે, અને સંદેશા વિતરણ પ્રમાણે journal અથવા ક્લાસિક syslog ફાઇલમાં પહોંચે છે. આમાંથી કોઈપણ આદાનપ્રદાન બતાવશે: journalctl -f -u NetworkManager | grep -Ei 'pluto|charon|no_prop|proposal' અથવા tail -f /var/log/syslog | grep -Ei 'pluto|charon|ike'.

pluto નામ ધરાવતી લાઇન libreswan તરફથી આવે છે, charon strongSwan તરફથી, અને બંને એક જ સ્થિતિને જુદા શબ્દોમાં વર્ણવે છે. જે સ્વરૂપ શોધવા લાયક છે તે ખૂટતા જૂથનું નામ આપે છે, જેમ કે algorithm 'modp1024' is not supported, કારણ કે તે અસ્પષ્ટ નિષ્ફળતાને ચોક્કસમાં ફેરવે છે.

modp1024 ક્યાં ગયું

Diffie-Hellman જૂથ 2 એટલું નબળું છે કે ઘણા વિતરણોએ 3.30 થી libreswan માં તેને કમ્પાઇલ કરવાનું બંધ કર્યું. પછી વર્ષો પહેલા લખાયેલી પ્રોફાઇલ, અથવા ગેટવે માર્ગદર્શિકામાંથી લીધેલી જે ફક્ત aes128-sha1-modp1024 યાદી કરે છે, સ્થાનિક ડિમન પાસે એવું માંગે છે જે તે બિલકુલ કરી શકતું નથી. નવા NetworkManager-l2tp બિલ્ડ તે પરિણામને વધુ સંભવિત બનાવે છે: 1.2.16 થી તેઓ સમૂહને Windows 10 અને iOS શૈલીના પ્રસ્તાવોથી બદલે છે અને libreswan મળતાં જ modp1024 કાઢી નાખે છે. સામેનો છેડો ઘણી વાર નિર્દોષ હોય છે અને હજી પણ તમે ગોઠવેલું જૂથ જ ઓફર કરે છે.

એ અસમમિતિ જ નિષ્ફળતાને અવ્યવસ્થિત લાગવા દે છે. જૂનો ક્લાયન્ટ જોડાય છે, અપડેટ થયેલા લેપટોપ પર એ જ પ્રોફાઇલ જોડાતી નથી, અને સર્વરની ગોઠવણી ક્યારેય ખસી નથી. નુકસાન આવૃત્તિના તફાવતથી થાય છે.

અલગ અસરવ્યાપ્તિ સાથે બે સુધારા

સસ્તો સુધારો એ છે કે અલ્ગોરિધમને હાર્ડકોડ કરવાનું બંધ કરો. એડિટરમાં બંને પ્રસ્તાવ ક્ષેત્રો ખાલી કરો અને પ્લગઇનને એવો સમૂહ પસંદ કરવા દો જે દૂરનો છેડો સ્વીકારે; જો ગેટવે આધુનિક જૂથોને ટેકો આપે તો વાટાઘાટ વધુ કામ વિના પૂરી થાય છે.

બીજો સુધારો strongSwan ઇન્સ્ટોલ કરીને જૂના ગેટવેને પહોંચમાં રાખે છે, જેનાં પેકેજ મોટાભાગના વિતરણોમાં હજી જૂથ 2 લાગુ કરે છે. એ ડિમન બદલવાનું છે, તેથી તેની કિંમત છે: દૂર કરતા પહેલા તપાસો કે હોસ્ટ પરના બીજા ટનલ libreswan ગોઠવણી પર આધાર રાખે છે કે નહીં, અને Fedora પર NetworkManager અને strongSwan પ્લગઇન વચ્ચે SELinux નકારની અપેક્ષા રાખો. એ નકાર ઓડિટ લોગમાં દેખાય છે, IKE ટ્રેસમાં નહીં, તેથી સફળ ઇન્સ્ટોલ પછી તરત જ ટનલ તૂટેલી દેખાઈ શકે છે. જે ક્રમ કામ કરે છે તે પહેલા dnf install strongswan, પછી rpm -e libreswan છે.

મેળ ખાતા પ્રસ્તાવ શબ્દમાળાઓ, અને તેમની આસપાસના છટકા

જ્યારે ક્ષેત્રો હાથે ભરવાં પડે ત્યારે ફેઝ 1 અને ફેઝ 2 અલગ મૂલ્યો લે છે. Meraki શૈલીના સામેના છેડા સામે કામ કરતી જાણીતી જોડી ફેઝ 1માં aes128-sha1-modp1024 અને તેની પાછળ 3des-sha1-modp1024 ઓફર કરે છે, બંને ઉદ્ગારવાચક ચિહ્નથી બંધ જે સમૂહને કડક બનાવે છે, તેથી ફક્ત એ જ પ્રસ્તાવ મોકલાય છે.

પછી ફેઝ 2 એ જ કડક નિશાન સાથે અને Diffie-Hellman પ્રત્યય વિના aes128-sha1 અને 3des-sha1 સુધી સાંકડી થાય છે. -modp1024 ધરાવતી ફેઝ 2ની લાઇન ખોટા ક્ષેત્રમાં ફેઝ 1નું મૂલ્ય છે, અને જવાબ આપનાર દરેક ફરી પ્રયાસમાં તેને નકારે છે. એ લાઇન બીજી પ્રોફાઇલમાં કોપી કરો અને બીજી પ્રોફાઇલ પણ એ જ રીતે નિષ્ફળ જાય છે, અને એમ એક ટાઇપિંગ ભૂલ આખા કાફલા માટેની ઘટના બની જાય છે.

બીજી ખામીઓ પ્રસ્તાવની અસંગતિ ન હોવા છતાં એ જ પોપઅપ ધારણ કરે છે. KDE પર L2TP પ્રકાર પ્લગઇન ઇન્સ્ટોલ હોવા છતાં સૂચિબદ્ધ હોઈ શકે જ્યારે દરેક કનેક્શન તરત મરી જાય, કારણ કે કનેક્શન એડિટર અને રનટાઇમ સહાયકો અલગ પેકેજ તરીકે આવે છે. સ્ક્રીન વગરના હોસ્ટ કામ કરતા ડેસ્કટોપની પ્રોફાઇલ ફરી વાપરી શકે છે: તેને /etc/NetworkManager/system-connections/ માંથી કોપી કરો, મોડ 600 પર સેટ કરો, પછી nmcli con reload ચલાવો. તેને nmcli con up id work-l2tp થી ઉપર લાવો, કારણ કે નમૂનારૂપ સ્વરૂપ UUID માંગે છે, અને કોઈપણ જૂની ifname એન્ટ્રી દૂર કરો, નહીં તો મેનેજર Could not find source connection જવાબ આપે છે જ્યારે બાકીનું બધું સાચું હોય છે.

પહેલાથી શેર કરેલી ચાવી સાદા લખાણ તરીકે અથવા 0s અને પછી base64 તરીકે સંગ્રહી શકાય; બંને સ્વરૂપ કામ કરે છે, પરંતુ મૂલ્ય ગેટવે સાથે બાઇટ દીઠ બાઇટ મેળ ખાવું જોઈએ, જેમાં તેની સાથે કોપી કરેલી અંતિમ જગ્યાઓનો પણ સમાવેશ થાય છે.