L2TP NO_PROPOSAL_CHOSEN: hvaða áfanga mistókst í raun?

NO_PROPOSAL_CHOSEN kemur áður en nokkurt PPP-notandanafn er skoðað, sem er gagnleg staðreynd og líka ástæðan fyrir því að skilaboðin villa um. Þau segja að önnur hliðin hafi hafnað tillögu; þau segja ekki hvaða færibreyta var ósamkvæm og segja ekkert um hvort höfnunin átti sér stað við byggingu IKE-samtengingarinnar eða síðar við samningaviðræður um vernd umferðarinnar. Á bak við þessa tvo möguleika eru tvær ólíkar lagfæringar, og aðeins önnur þeirra snertir PFS-gátreitinn sem fólk grípur fyrst til.

Ein skilaboð, tvö tillögusöfn

IKEv1 L2TP/IPsec fyrirkomulagið hefur tvær samningaviðræður í röð. Áfangi 1 byggir IKE-öryggissamtenginguna úr dulkóðunarreikniriti, heilleikareikniriti og Diffie-Hellman-hópi. Áfangi 2 semur síðan um hvernig umferðin er vernduð, og PFS-krafan tilheyrir þeim seinni samræðum.

Þar sem áfangarnir eru í röð segir staða mistakans þér hvaða lista á að bera saman. Í því felst allt greiningargildi skilaboðanna, og það er þess virði að draga það út áður en þú snertir stillingu.

Af hverju PFS-gátreitur getur ekki lagað áfanga 1

Að slökkva á PFS breytir eiginleika áfanga 2. Ef aðilarnir urðu aldrei sammála um áfanga 1, þá á ESP-samræðan sér aldrei stað, svo gátreiturinn hefur engin áhrif á höfnunina, og þess vegna gefur að skipta um hann sömu villuna með annarri tímastimpli.

Öfug mistök eru jafn algeng. Vel heppnuð IKE-samtenging sannar ekki að ESP-tillagan sé ásættanleg og sannar alls ekki að hópur áfanga 2 passi. Líttu á uppsetta stjórnunargöng sem sönnun um áfanga 1 eingöngu. Fólk les grænu línuna sem „göngin eru uppi“ og eyðir síðan klukkustund í röngum áfanga vegna þess að ekkert sagði því að seinni samningaviðræðurnar hefðu ekki hafist.

Lestu annálinn áður en þú velur reiknirit

Safnaðu skilaboðunum sem koma rétt fyrir höfnunina frá bakendanum sem sinnir tengingunni í raun, og tengdu þau sömu tilraun. Án þeirrar tengingar ertu að lesa sögu annarrar tengingar og draga ályktanir af henni.

journalctl -b -u NetworkManager --since "10 min ago"
ipsec statusall          # strongSwan
ipsec whack --status     # Libreswan

Af þeim línum skaltu svara tveimur spurningum: varð til samtenging í áfanga 1, og hvaða skipti mistókust. Þessi tvö svör þrengja leitina að einum lista af eiginleikum. Bert tilkynning án samhengis í kring getur það ekki, hversu freistandi sem það er að prófa tillögu úr þræði á spjallborði. Afritun virkrar strengs frá vél með annan bakenda kemur venjulega í stað einnar höfnunar með annarri, aðeins síðar.

Setningafræði bakendans fer ekki

Skráðu útgáfu NetworkManager-l2tp og útgáfu IPsec-bakendans áður en þú berð eitthvað saman. Libreswan og strongSwan deila ekki tillögusetningafræði né sömu reikniritasöfnum, svo strengur sem virkar í öðrum er setningafræðivilla í hinum. Uppsetti bakendinn getur líka hafnað IKEv1 samkvæmt stefnu, og þá verður engri tillögu nokkurn tíma tekið.

README verkefnisins skjalfestir þennan mun á bakendum og heldur reitum áfanga 1 og áfanga 2 aðskildum. Lestu það sem skjölun á uppbyggingunni, ekki sem boð um að virkja hvert sögulegt dulmál og veikan hóp, því tenging sem tekst aðeins þannig er ekki tengingin sem þú varst beðinn um að byggja.

Semjið um stillingarnar og staðfestið síðan áfangana

Spurðu rekstraraðila gáttarinnar hvaða IKE- og ESP-stillingar eru studdar og samþykktar, og berðu það svar síðan saman við raunverulegar tillögur biðlarans í stað stillingarskrár hans. Ef ágreiningurinn snýst sérstaklega um PFS í áfanga 2 skaltu velja studdan hóp eða stefnu án PFS sem er samþykkt berum orðum. Ekki álykta stefnuna af heiti villunnar.

Þegar eina skörunin krefst dulritunar sem stofnunin samþykkir ekki lengur tilheyrir ákvörðunin gáttinni eða samskiptaregluflutningi. Að víkka streng biðlarans þar til eitthvað semur er leið til að afhenda þekktan veikleika með grænu hakmerki við hliðina.

Eftir að hafa lagfært raunverulega ósamkvæmni skaltu staðfesta uppsetningu IPsec áður en þú rannsakar L2TP og PPP, og líta á hverja síðari auðkenningahöfnun sem tilheyrandi næsta áfanga. Prófaðu síðan endurnýjun í samþykktu prófunarferli, því uppsetning fyrstu samtengingarinnar segir ekkert um restina af líftíma hennar.