L2TP: banvænt merki 15, NO_PROPOSAL_CHOSEN og vantar modp1024

Tengingin þín stíflast, biðlarinn hættir og síðasta línan á skjánum er death_handler: Fatal signal 15 received. Sú lína tilkynnir rof, ekki orsök. Einni línu ofar í IPsec-skrá er nánast alltaf NO_PROPOSAL_CHOSEN, og parið bendir á fasa 2 skiptanna, þar sem aðilar bera saman val á dulritun og hash og stöðva þegar þeir eiga ekkert sameiginlegt. Auðkenni hafa ekki verið send á því stigi, svo að slá lykilorðið inn aftur getur ekki breytt niðurstöðunni.

Venjulega tæma tvennt þetta skurð í Linux-biðlara. Staðbundinn dæmon gæti ekki lengur útfært Diffie-Hellman-hópinn sem sniðið biður um, eða sniðið ber tillögu úr fasa 1 í reit fasa 2. Bæði skilja eftir sig slóð í skránni, og hvorugt er vandamál með reikning.

Hvað skilaboðin tvö segja í raun

IKE semur í áföngum. Fasi 1 byggir varinn farveg og velur eigin reiknirit; fasi 2, barn-SA, flytur umferð undir sérstöku setti. NO_PROPOSAL_CHOSEN er tilkynningin sem svarið skilar þegar ekkert boðinna samsetninga er ásættanlegt, og hún birtist sem [ HASH N(NO_PROP) ] inni í INFORMATIONAL-skiptum.

Merki 15 er annar atburður: eitthvað sagði staðbundnu ferlinu að stöðvast og meðhöndlarinn skráði það. Þegar báðar línur birtast saman er röðin orsakasamhengi, fyrst höfnun og svo slokknun.

Lestu samningaviðræðurnar áður en þú snertir auðkenni

Hækkaðu skráningarstigið þar sem dæmoninn skrifar, tengdu síðan aftur á meðan þú fylgist með úttakinu. Á NetworkManager-vél sendir L2TP-viðbótin það stig áfram til bakendans og skilaboðin lenda í journal eða klassísku syslog-skránni eftir dreifingu. Hvort tveggja sýnir skiptin: journalctl -f -u NetworkManager | grep -Ei 'pluto|charon|no_prop|proposal' eða tail -f /var/log/syslog | grep -Ei 'pluto|charon|ike'.

Lína sem nefnir pluto kemur frá libreswan, charon frá strongSwan, og bæði lýsa sama ástandi með ólíkum orðum. Formið sem er þess virði að leita að er það sem nefnir hópinn sem vantar, til dæmis algorithm 'modp1024' is not supported, því að það breytir óljósum bilun í ákveðna.

Hvert fór modp1024

Diffie-Hellman-hópur 2 er nógu veikur til að nokkrar dreifingar hættu að þýða hann inn í libreswan frá 3.30. Þá biður snið sem var skrifað fyrir árum, eða tekið úr hliðarleiðbeiningu sem listar aðeins aes128-sha1-modp1024, staðbundna dæmoninn um eitthvað sem hann getur alls ekki gert. Nýrri byggingar NetworkManager-l2tp gera þá niðurstöðu líklegri: frá 1.2.16 skipta þær settinu út fyrir tillögur í stíl Windows 10 og iOS og sleppa modp1024 um leið og libreswan greinist. Gagnaðilinn er oft saklaus og býður enn nákvæmlega hópinn sem þú stilltir.

Þetta ósamhverfa er það sem lætur bilunina virðast tilviljunarkennda. Eldri biðlari tengist, sama snið á uppfærðri fartölvu ekki, og stilling netþjónsins hefur aldrei hreyfst. Útgáfudrif veldur skaðanum.

Tvær viðgerðir með ólíku umfangi

Ódýra viðgerðin er að hætta að harðkóða reiknirit. Tæmdu báða tillögureiti í ritlinum og leyfðu viðbótinni að velja sett sem gagnaðilinn samþykkir; ef hliðið styður nútíma hópa lýkur samningunum án frekari vinnu.

Seinni viðgerðin heldur gömlu hliði aðgengilegu með því að setja upp strongSwan, en pakkar þess útfæra enn hóp 2 í flestum dreifingum. Það er dæmonskipti, svo það kostar eitthvað: staðfestu hvort aðrar göng á vélinni séu háðar libreswan-stillingunni áður en þú fjarlægir hana, og búðu þig undir SELinux-höfnur milli NetworkManager og strongSwan-viðbótarinnar á Fedora. Þessar höfnur birtast í endurskoðunarskrá en ekki í IKE-slóðinni, og þess vegna getur göng litið út fyrir að vera brotin strax eftir árangursríka uppsetningu. Röðin sem virkar er fyrst dnf install strongswan, svo rpm -e libreswan.

Tillögustrengir sem passan og gildrurnar í kringum þá

Þegar fylla verður reitina í höndunum taka fasi 1 og fasi 2 ólík gildi. Par sem vitað er að virkar gegn gagnaðila í Meraki-stíl býður aes128-sha1-modp1024 í fasa 1 með 3des-sha1-modp1024 fyrir aftan, bæði lokuð með upphrópunarmerki sem gerir settið strangt, svo aðeins þær tillögur eru sendar.

Fasi 2 þrengist síðan að aes128-sha1 og 3des-sha1 með sama stranga merki og alls engu Diffie-Hellman-viðskeyti. Lína í fasa 2 sem ber -modp1024 er gildi úr fasa 1 í röngum reit, og svarinn hafnar henni við hverja tilraun. Afritaðu þá línu í annað snið og seinna sniðið mistekst á sama hátt, og þannig verður einn innsláttarvillur að atviki fyrir allan flotann.

Aðrar bilanir klæðast sama sprettiglugga án þess að vera tillöguósamræmi. Á KDE getur L2TP-gerðin verið skráð með viðbótinni uppsettu á meðan hver tenging deyr samstundis, því að tengiritillinn og keyrsluaðstoðin koma sem aðskildir pakkar. Skjálausar vélar geta endurnýtt snið frá vinnandi skjáborði: afritaðu það úr /etc/NetworkManager/system-connections/, stilltu haminn á 600 og keyrðu síðan nmcli con reload. Ræstu það með nmcli con up id work-l2tp, þar sem bera formið krefst UUID, og fjarlægðu hvaða úrelt ifname-færslu sem er, annars svarar stjórnandinn Could not find source connection þótt allt annað sé rétt.

Fyrirfram deildur lykill getur verið geymdur sem hreinn texti eða sem 0s og þá base64; bæði formin virka, en gildið verður að passa við hliðið bæti fyrir bæti, þar á meðal bilin aftast sem þú afritaðir með því.