Ubuntu અપગ્રેડે L2TP/IPsec તોડ્યું? IKEv1 પ્રસ્તાવોની સરખામણી કરો

કનેક્શન ગુરુવારે કામ કરતું હતું, અપગ્રેડ શુક્રવારે ચાલ્યું, અને સોમવારે ક્લાયન્ટ “connecting” પર ફરે છે અને હાર માની લે છે. એ જ લેપટોપ, એ જ સર્વર, એ જ એકાઉન્ટ, એ જ પહેલેથી શેર કરેલી કી. પ્રોફાઇલમાં કંઈ જ સંપાદિત કરવામાં આવ્યું નથી, તેથી સ્પષ્ટ શંકાસ્પદો, પાસવર્ડ અને ફાયરવૉલ, તમારો સમય બગાડે છે.

જે બદલાયું છે તે તમારું મશીન આપવા તૈયાર હોય તેવા રૂપાંતરણોની યાદી છે. Ubuntu પર વપરાતા બંને IPsec સ્ટેક, strongSwan અને Libreswan, જે એલ્ગોરિધમને હવે સુરક્ષિત નથી માનતા તેને દૂર કરે છે, અને તેમની સામે રહેલું NetworkManager પ્લગઇન પોતાની યાદી ધરાવે છે, જે અલગ સમયપત્રક પર આગળ વધે છે. 3DES, SHA1 અને 1024 બિટના Diffie-Hellman જૂથ પર પિન કરેલું સર્વર અંતે સ્વીકારે તેમાંથી કંઈ જ સાંભળી શકતું નથી.

અપગ્રેડે ખરેખર શું બદલ્યું

IKEv1 પ્રસ્તાવને બે સ્તરો પોષે છે. ડિમન કમ્પાઇલ કરેલું મૂળભૂત પ્રસ્તાવ સેટ પૂરો પાડે છે, અને L2TP પ્લગઇન કાં તો તેના પર આધાર રાખે છે અથવા પોતાની યાદી આપે છે. NetworkManager-l2tp 1.2.16 પહેલાં પ્લગઇન આધાર રાખતું હતું, તેથી તમારો પ્રસ્તાવ એ હતો જે ઇન્સ્ટોલ થયેલું ડિમન વાજબી માનતું. 1.2.16 થી આગળ પ્લગઇન Windows અને Apple ક્લાયન્ટના આધારે બનાવેલી દસ્તાવેજી યાદી મોકલે છે, અને તે યાદી જૂના મૂળભૂત કરતાં વિશાળ છે પણ હવે કતારની આગળનું દરેક જૂનું સંયોજન ધરાવતી નથી.

એ વિભાજન એક નિષ્ફળતાની રીત સમજાવે છે જે લોકોને ગૂંચવણભરી લાગે છે: એક જ Ubuntu આવૃત્તિ પરનાં બે મશીન અલગ રીતે વર્તી શકે છે કારણ કે એકમાં ડિસ્ટ્રિબ્યુશન પેકેજ છે અને બીજામાં બેકપોર્ટ છે, અને બગ રિપોર્ટમાં બંને પરનું ડિમન સંસ્કરણ સરખું દેખાય છે. તારણ કાઢો તે પહેલાં કે અપગ્રેડે સંબંધિત કંઈ જ બદલ્યું નથી, પ્લગઇન સંસ્કરણ તપાસો, ફક્ત ડિમન સંસ્કરણ નહીં.

એ જ વિસ્તારમાં નાની એક જાળ છે. બંને ડિમન અંડાકાર વક્ર Diffie-Hellman જૂથોને અલગ રીતે લખે છે, એક ecp384 લખે છે અને બીજું ecp_384. ખોટી જોડણી Advanced સંવાદમાં પેસ્ટ કરો અને ડિમન સેટિંગને અવિશ્લેષણીય તરીકે નકારી કાઢશે, જે લોગમાં રૂપરેખાંકનની ટાઇપિંગ ભૂલને બદલે વાટાઘાટ સમસ્યા તરીકે દેખાય છે.

કંઈ બદલતા પહેલાં નિષ્ફળતા વાંચો

તમે કયું બેકએન્ડ ચલાવી રહ્યા છો તેનાથી શરૂ કરો, કારણ કે જવાબ સિન્ટેક્સ અને લોગનું સ્થાન બંને નક્કી કરે છે.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

પછી વિનિમય પોતે વાંચો. strongSwan પર ડિમન વર્તમાન આવૃત્તિમાં જર્નલમાં અને જૂનીમાં /var/log/syslog માં લખે છે, અને રસપ્રદ ભાગ એ છે કે તે જે પ્રસ્તાવ મોકલે છે, છેલ્લી લાઇન નહીં. તમે કોઈ મેળ ખાતો પ્રસ્તાવ નથી એવા શબ્દો શોધી રહ્યા છો, જે એલ્ગોરિધમની સમસ્યા છે; પ્રમાણીકરણ નિષ્ફળતા, જે કી અથવા એકાઉન્ટ તરફ ઇશારો કરે છે; અથવા સાદો સમયસમાપ્તિ, જે પહોંચનીયતા તરફ ઇશારો કરે છે.

આ ત્રણ પરિણામોને ઘણી વાર એક લક્ષણ તરીકે ગણવામાં આવે છે. ખાલી ડિમન લોગ સાથેની સમયસમાપ્તિ એટલે પેકેટો આવતા નથી. પ્રસ્તાવનો અસ્વીકાર એટલે તે આવ્યા અને નકારવામાં આવ્યા. જો તમારો લોગ શાંત છે, તો એક પ્રયાસ માટે પ્લગઇનનું ડિબગ સ્તર વધારો અને પછી ઘટાડો, કારણ કે વિગતવાર આઉટપુટ જર્નલને ઝડપથી ભરી દે છે.

ફેઝ 1 અને ફેઝ 2 અલગ શરતો છે

IKEv1 બે વાર વાટાઘાટ કરે છે. મુખ્ય મોડ એન્ક્રિપ્શન એલ્ગોરિધમ, ઇન્ટિગ્રિટી એલ્ગોરિધમ, Diffie-Hellman જૂથ અને પ્રમાણીકરણ પદ્ધતિમાંથી IKE સુરક્ષા સંગઠન બનાવે છે. પછી ઝડપી મોડ એ ESP સંગઠન બનાવે છે જે L2TP વહન કરશે. સર્વર પ્રથમ સ્વીકારવા અને બીજું નકારવા માટે મુક્ત છે, તેથી અડધું સાચું પ્રોફાઇલ તમે અપેક્ષા કરો તેના કરતાં મોડું નિષ્ફળ જાય છે અને અલગ બગ જેવું લાગે છે.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

ઉદ્ગાર ચિહ્ન એ strongSwan સિન્ટેક્સમાં કડક એન્ટ્રી માટે છે: ફક્ત આ એક સંયોજન આપો, બીજું કંઈ નહીં. તેના વિના એન્ટ્રી ફોલબેક યાદીમાં જોડાય છે, જે ત્યારે સારું છે જ્યારે સામેનો પક્ષ આધુનિક હોય અને ત્યારે નુકસાનકારક છે જ્યારે તે એક જ હાર્ડકોડેડ નીતિ ધરાવતું ઉપકરણ હોય. ઉપરની જોડીને સ્વરૂપનું ઉદાહરણ ગણો, આજે તમે જે પણ બનાવી રહ્યા છો તેના માટે ભલામણ નહીં.

એક ક્ષેત્ર બદલો, પછી પરીક્ષણનું પુનરાવર્તન કરો

વર્તમાન પ્લગઇન પર, સૌથી ઝડપી પ્રથમ પરીક્ષણ એ છે કે બંને પ્રસ્તાવ ક્ષેત્રો સંપૂર્ણ ખાલી કરો અને ફરી કનેક્ટ કરો, કારણ કે પૂરી પાડેલી મૂળભૂત યાદીમાં પહેલેથી જ સામાન્ય Windows અને Apple સંયોજનો છે. જૂના પ્લગઇન પર, તેમને ખાલી કરવાથી નિયંત્રણ એવા ડિમનને પાછું જાય છે જેણે તમારા સર્વરનું આગ્રહપૂર્વક જણાવેલું એલ્ગોરિધમ કદાચ છોડી દીધું હોય, અને નિષ્ફળતા વધુ ખરાબ થાય છે.

જો ખાલી કરવાથી મદદ ન મળે, તો તમારું સર્વર દસ્તાવેજીકૃત કરે તેવી કડક જોડી સેટ કરો, એક સમયે એક ફેઝ. ફેઝ 1 બદલો, ફરી કનેક્ટ કરો, અને ફેઝ 2 ને સ્પર્શ કરતા પહેલાં લોગ વાંચો. જ્યારે સંયોજન અંતે કામ કરે, ત્યારે તેને સર્વર મોડેલ અને પ્લગઇન સંસ્કરણની બાજુમાં લખી રાખો, કારણ કે મૂળભૂત મૂલ્યો ફરી ખસશે અને તે જ નોંધ આગળના અપગ્રેડને પાંચ મિનિટની તપાસમાં ફેરવે છે.