NO_PROPOSAL_CHOSEN L2TP-ում? Նախ սկանավորեք դարպասը

Օգտանվան հարցումը երբեք չի հայտնվում, և հաճախորդը հաղորդում է NO_PROPOSAL_CHOSEN։ Այդ պահին հաշվետվությունները և նախապես համօգտագործված բանալին անտեղի են, որովհետև երկու կողմերը չեն պայմանավորվել, թե ինչպես պաշտպանել 1-ին փուլը։ Մարդկանց մեծ մասը պատասխանում է՝ տեղադրելով առցանց գտած գաղտնագրման տող։ Դարպասի սկանավորումը նույն հարցին պատասխանում է ապացույցներով և տևում է մոտավորապես նույնքան։

Ինչ է բացառում հաղորդագրությունը

Մերժումը տեղի է ունենում հիմնական ռեժիմում՝ մինչև L2TP կամ PPP ցանկացած փոխանակում, ուստի թունելը և օգտատերերի տվյալների բազան չեն հարցվել։ 1-ին փուլը բանակցում է գաղտնագրման, ամբողջականության և Diffie-Hellman խմբի շուրջ։ 2-րդ փուլը բանակցում է տվյալների ESP առաջարկի շուրջ։ 1-ին փուլի ձախողումը հնարավոր չէ շտկել 2-րդ փուլի PFS կարգավորումը փոխելով, և ավարտված IKE կապը չի ապացուցում, որ ESP առաջարկը համապատասխան է։

Նախքան շարահյուսությունը խմբագրելը գրանցեք backend-ը՝ ipsec --version. libreswan-ը և strongSwan-ը նույն ալգորիթմների համար ընդունում են առաջարկի տարբեր ուղղագրություններ։

Այնուհետև կարդացեք մերժումը համատեքստում այս հրամանով՝ journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd։

Սկանավորեք դարպասը նրա տրանսֆորմացիաների հավաքածուի համար

Սկաները ուղղակիորեն հարցնում է դարպասին, թե որ տրանսֆորմացիաների շուրջ է բանակցելու։ Նախ դադարեցրեք տեղական IPsec ծառայությունը, որպեսզի ստուգումը չմրցի ձեր սեփական հաճախորդի հետ, ապա կարդացեք SA տողերը։ Ցանկը վերաբերվեք որպես ապացույց մյուս կողմի մասին, ոչ որպես մենյու, որ պետք է ամբողջությամբ միացնել։

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Հին սարքերը հաճախ առաջարկում են 3DES, SHA1 և MODP1024, որովհետև դրանք եղել են լռելյայն արժեքները, երբ ապրանքը առաքվել է, և ոչ ոք դրանք նորից չի վերանայել։ Պահպանեք սկանավորման հում արդյունքը, որովհետև դա այն օրը մյուս կողմի առաջարկածի միակ գրառումն է։ Եթե դա ամենաուժեղ հասանելի համընկնումն է, ճիշտ էսկալացիան ուղղված է դարպասի տիրոջը, ոչ թե հաճախորդի կարգավորվածքին, որը բոլորի համար նորից միացնում է թույլ գաղտնագրությունը։

Համապատասխանեցրեք համընկնումը՝ չանջատելով անվտանգությունը

Մուտքագրեք միայն այն տրանսֆորմացիաները, որոնք հայտնվում են և՛ սկանում, և՛ ձեր քաղաքականության մեջ։ Ստորև օրինակը արտացոլում է դարպաս, որն առաջարկում է 3DES, SHA1 և MODP1024 1-ին փուլում։ Ուշադրություն դարձրեք backend-ի վերաբերյալ նշումին՝ libreswan 4.x-ը չի կոմպիլացնում modp1024 խումբը, ուստի սա վերաբերում է strongSwan-ին կամ DH2 աջակցությամբ libreswan-ի կառուցմանը։ Ստուգեք տարբերակը նախքան եզրակացնելը, որ հաճախորդը կոտրված է։

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Վերջում դրված բացականչական նշանը ամրացնում է մեկ առաջարկ։ Օգտագործեք այն թեստը մեկուսացնելու համար, ապա հեռացրեք, որպեսզի դարպասը հետագայում կարողանա ավելի ուժեղ բանի շուրջ բանակցել։

Ստուգեք դեմոնը և պորտը նախքան նորից փորձելը

NetworkManager-l2tp-ն սկսում է իր սեփական xl2tpd օրինակը։ Եթե համակարգի ծառայությունն արդեն տիրապետում է UDP 1701-ին, հաճախորդը անցնում է ժամանակավոր աղբյուրային պորտի, ինչը թույլատրում է RFC 3193-ը, և որոշ սերվերներ լուռ գցում են այն։ Ստուգեք socket-ի տիրոջը մինչև հաջորդ փորձը։

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Հնացած գեներացված գաղտնիքները ևս մեկ լուռ պատճառ են։ Ֆայլերը այստեղ՝ /etc/ipsec.d/ հին միացման անվանումով, կարող են ապրել ավելի երկար, քան դրանք ստեղծած պրոֆիլը, ուստի հեռացրեք նրանք, որոնց ոչինչ չի հղում, և նորից փորձեք։

Վերջապես ստուգեք, թե որտեղից է եկել խորհուրդը։ ipsec.conf IKEv1 XAuth-ի համար գրված ֆայլը նկարագրում է այլ տեսակի VPN, և դրա առաջարկը միակ սխալ տողը չէ L2TP պրոֆիլում։ Գրանցեք մուտքագրած տրանսֆորմացիաների հավաքածուն պրոֆիլի կողքին, որպեսզի հաջորդ մարդը չկրկնի ստուգումը։