NO_PROPOSAL_CHOSEN í L2TP? Skannaðu gáttina fyrst

L2TP/IPsec-biðlari sem mistekst fyrir notandanafnsskorpuna samþykkti aldrei 1. fasa. Skannaðu tillögusafn gáttarinnar í stað þess að líma dulritunartáknstrengi.

Notandanafnsskorpan birtist aldrei, og biðlarinn tilkynnir NO_PROPOSAL_CHOSEN. Auðkenni og fyrirfram deildi lykillinn eru óviðkomandi á þeim tímapunkti, því báðir endar hafa ekki samþykkt hvernig eigi að vernda 1. fasa. Flestir bregðast við með því að líma dulritunartáknstreng sem þeir fundu á netinu. Skönnun á gáttinni svarar sömu spurningu með sönnunum og tekur um það bil jafn langan tíma.

Hvað skilaboðin útiloka

Höfnunin á sér stað í aðalham, fyrir hvers kyns L2TP- eða PPP-skiptum, svo hvorki göngin né notendagagnagrunnurinn voru spurðir. 1. fasi semur um dulritun, heilleika og Diffie-Hellman-hóp. 2. fasi semur um ESP-tillöguna fyrir gögn. Ekki er hægt að laga bilun í 1. fasa með því að breyta PFS-stillingu 2. fasa, og lokið IKE-tenging sannar ekki að ESP-tillagan passi.

Skráðu backend áður en þú breytir setningafræðinni: ipsec --version. libreswan og strongSwan samþykkja mismunandi stafsetningu tillögunnar fyrir sömu reikniritin.

Lestu síðan höfnunina í samhengi með journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Skannaðu gáttina fyrir umbreytingasafn hennar

Skanni spyr gáttina beint hvaða umbreytingar hún muni semja um. Stöðvaðu fyrst staðbundna IPsec-þjónustuna svo prófið keppi ekki við þinn eigin biðlara, lestu síðan SA-línurnar. Meðhöndlaðu listann sem sönnun um mótaðilann, ekki sem valmynd sem á að kveikja á í heild.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Eldri tæki bjóða oft 3DES, SHA1 og MODP1024, því það voru sjálfgefin gildi þegar varan var send og enginn fór yfir þau aftur. Geymdu hráa skönnunarútkomu, því hún er eina skráin um hvað mótaðilinn bauð þann daginn. Ef það er sterkasta skörunin sem er fáanleg, er rétta eskölunin til eiganda gáttarinnar, ekki til biðlarastillingar sem kveikir aftur á veikri dulritun fyrir alla.

Passaðu skörunina án þess að slökkva á öryggi

Sláðu aðeins inn þær umbreytingar sem koma fram bæði í skanninu og í stefnu þinni. Dæmið hér að neðan endurspeglar gátt sem býður 3DES, SHA1 og MODP1024 í 1. fasa. Athugaðu fyrirvara um backend: libreswan 4.x þýðir ekki modp1024-hópinn, svo þetta á við strongSwan eða libreswan-uppbyggingu með DH2-stuðningi. Staðfestu útgáfuna áður en þú ályktar að biðlarinn sé bilaður.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Upphrópunarmerki í lokin festir eina tillögu. Notaðu það til að einangra próf og fjarlægðu það síðan svo gáttin geti síðar semt um eitthvað sterkara.

Athugaðu daemoninn og portið áður en þú reynir aftur

NetworkManager-l2tp ræsir sína eigin xl2tpd-tilvik. Ef kerfisþjónustan á þegar UDP 1701 fellur biðlarinn aftur á skammvinnan upprunaport, sem RFC 3193 leyfir og sumir þjónar sleppa hljóðlega. Athugaðu eiganda sokkans fyrir næstu tilraun.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Úrelt mynduð leyndarmál eru önnur hljóðlát orsök. Skrár undir /etc/ipsec.d/ nefndar eftir gömlu sambandi geta lifað lengur en sniðið sem bjó þær til, svo fjarlægðu þær sem ekkert vísar í og reyndu aftur.

Athugaðu loks hvaðan ráðið kom. ipsec.conf sem skrifuð er fyrir IKEv1 XAuth lýsir annarri tegund VPN, og tillaga hennar er ekki eina línan sem verður röng í L2TP-sniði. Skráðu umbreytingasafnið sem þú slóst inn við hlið sniðsins, svo næsti maður endurtaki ekki prófið.

Tengdir greinar