Breytti Ubuntu-uppfærslan L2TP/IPsec? Berið saman IKEv1-tillögurnar

Tengingin virkaði á fimmtudag, uppfærslan rann á föstudag, og á mánudag snýst biðlarinn á “connecting” og gefst upp. Sama fartölva, sami þjónn, sama reikningur, sami fyrirfram deildi lykill. Ekkert í prófílnum var breytt, þess vegna eyða hinir augljósu grunuðu, lykilorðið og eldveggurinn, tímanum þínum.

Það sem breyttist er listinn yfir umbreytingar sem vélin þín er reiðubúin að bjóða. Báðar IPsec-stöflurnar sem notaðar eru á Ubuntu, strongSwan og Libreswan, klippa burt reiknirit sem þær telja ekki lengur örugg, og NetworkManager-viðbótin fyrir framan þær hefur sinn eigin lista sem hreyfist eftir annarri áætlun. Þjónn sem er festur við 3DES, SHA1 og 1024-bita Diffie-Hellman-hóp getur endað á að heyra ekkert sem hann samþykkir.

Hvað uppfærslan breytti í raun

Tvö lög næra IKEv1-tillöguna. Dæmoninn sendir með innbyggt sjálfgefið tillögusett, og L2TP-viðbótin annaðhvort treystir því eða leggur til sinn eigin lista. Fyrir NetworkManager-l2tp 1.2.16 treysti viðbótin því, svo tillaga þín var það sem uppsetti dæmoninn taldi sanngjarnt. Frá 1.2.16 sendir viðbótin skjalfestan lista sem er sniðinn eftir Windows- og Apple-biðlurum, og sá listi er breiðari en gamla sjálfgefna gildið en inniheldur ekki lengur hverja arfgerða samsetningu fremst í röðinni.

Þessi skipting útskýrir bilunarmáta sem fólki finnst ruglingslegur: tvær vélar á sömu Ubuntu-útgáfu geta hegðað sér mismunandi vegna þess að önnur hefur dreifingarpakkann og hin hefur backport, og dæmonútgáfan á báðum lítur eins út í villuskýrslu. Athugaðu útgáfu viðbótarinnar, ekki bara útgáfu dæmonsins, áður en þú ályktar að uppfærslan hafi ekki breytt neinu mikilvægu.

Það er minni gildra á sama svæði. Dæmonarnir tveir skrifa sporöskjulaga Diffie-Hellman-hópana á mismunandi hátt, annar skrifar ecp384 og hinn ecp_384. Límdu ranga stafsetningu í Advanced-gluggann og dæmoninn hafnar stillingunni sem ógreinanlegri, sem birtist í logginu sem samningavandamál en ekki innsláttarvilla í stillingunum.

Lestu bilunina áður en þú breytir einhverju

Byrjaðu á því hvaða bakendi þú keyrir, því svarið ræður bæði setningafræðinni og staðsetningu logsins.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

Lestu svo skiptinguna sjálfa. Á strongSwan skrifar dæmoninn í journal á núverandi útgáfu og í /var/log/syslog á eldri, og áhugaverði hlutinn er tillagan sem hann sendir, ekki síðasta línan. Þú ert að leita að orðalagi um að engin tillaga passi, sem er reikniritvandamál; auðkenningarbilun, sem bendir á lykilinn eða reikninginn; eða einfalt tímamörk, sem bendir á aðgengi.

Þessum þremur niðurstöðum er of oft ruglað saman við eitt einkenni. Tímamörk með tómu dæmonloggi þýða að pakkarnir berast ekki. Höfnun tillögunnar þýðir að þeir bárust og var hafnað. Ef loggið þitt er hljótt skaltu hækka aflúsunarstig viðbótarinnar fyrir eina tilraun og lækka það svo, því ítarlegt úttak fyllir journal fljótt.

1. áfangi og 2. áfangi eru aðskilin veðmál

IKEv1 semur tvisvar. Aðalmátið byggir IKE-öryggissamtök úr dulkóðunareikniriti, heilleikareikniriti, Diffie-Hellman-hópi og auðkenningaraðferð. Hraðmátið byggir svo ESP-samtökin sem munu bera L2TP. Þjónninn er frjáls að samþykkja það fyrra og hafna því síðara, svo hálfréttur prófíll mistekst seinna en þú býst við og lítur út eins og önnur villa.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

Upphrópunarmerkið er strongSwan-setningafræði fyrir stranga færslu: bjóddu þessa einu samsetningu og ekkert annað. Án þess gengur færslan í varalistann, sem er gott þegar jafninginn er nútímalegur og gagnvirkt þegar hann er tæki með eina harðkóðaða stefnu. Líttu á parið hér að ofan sem mynd af forminu, ekki sem tillögu fyrir neitt sem þú ert að byggja í dag.

Breyttu einu svæði og endurtaktu svo prófið

Á núverandi viðbót er fljótlegasta fyrsta prófið að hreinsa bæði tillögusvæðin algjörlega og tengjast aftur, því meðfylgjandi sjálfgefni listinn inniheldur þegar algengu Windows- og Apple-samsetningarnar. Á eldri viðbót gefur hreinsun þeirra stjórnina aftur til dæmons sem kann að hafa sleppt reikniritinu sem þjónninn þinn krefst, og bilunin versnar.

Ef hreinsun hjálpar ekki skaltu stilla stranga parið sem þjónninn þinn skjalfestir, einn áfanga í einu. Breyttu 1. áfanga, tengstu aftur og lestu loggið áður en þú snertir 2. áfanga. Þegar samsetning virkar loks skaltu skrifa hana niður við hlið þjónmódelsins og útgáfu viðbótarinnar, því sjálfgefnu gildin munu hreyfast aftur og þessi athugasemd er það sem gerir næstu uppfærslu að fimm mínútna athugun.