L2TP: өлімді сигнал 15, NO_PROPOSAL_CHOSEN және жоғалған modp1024

Қосылысыңыз қатып қалады, клиент шығады, экрандағы соңғы жол — death_handler: Fatal signal 15 received. Бұл жол тоқтатылғанын хабарлайды, себебін емес. IPsec журналында бір жол жоғарыда әрдайым дерлік NO_PROPOSAL_CHOSEN болады, ал жұп алмасудың 2-фазасына нұсқайды, онда тараптар шифрлау мен хэшті таңдауды салыстырып, ортақ ештеңе болмаса тоқтайды. Бұл кезеңде тіркелу деректері әлі жіберілмеген, сондықтан құпиясөзді қайта теру нәтижені өзгерте алмайды.

Linux клиентінде бұл қиылысты әдетте екі нәрсе босатады. Жергілікті демон профиль талап еткен Diffie-Hellman тобын енді іске асырмауы мүмкін, немесе профиль 1-фаза ұсынысын 2-фаза өрісінде алып жүруі мүмкін. Екеуі де журналда із қалдырады және ешқайсысы аккаунт мәселесі емес.

Екі хабарлама шын мәнінде не дейді

IKE кезең-кезеңімен келіседі. 1-фаза қорғалған арна құрып, өз алгоритмдерін таңдайды; 2-фаза, яғни бала SA, трафикті бөлек жиынтықпен тасымалдайды. NO_PROPOSAL_CHOSEN — ұсынылған комбинациялардың ешқайсысы қабылданбағанда жауап беруші қайтаратын хабарлама, ол INFORMATIONAL алмасуының ішінде [ HASH N(NO_PROP) ] түрінде көрінеді.

15-сигнал — басқа оқиға: бірдеңе жергілікті процеске тоқтауды бұйырды және өңдеуші оны жазып алды. Екі жол бірге пайда болғанда рет себепті: әуелі бас тарту, сонан соң сөндіру.

Тіркелу деректеріне тимес бұрын келіссөзді оқыңыз

Журнал деңгейін демон жазатын жерде көтеріңіз, содан кейін шығысты бақылай отырып қайта қосылыңыз. NetworkManager хостында L2TP қосымшасы бұл деңгейді backend-ке береді, ал хабарламалар таратуға қарай journal-ға немесе классикалық syslog файлына түседі. Осылардың кез келгені алмасуды көрсетеді: journalctl -f -u NetworkManager | grep -Ei 'pluto|charon|no_prop|proposal' немесе tail -f /var/log/syslog | grep -Ei 'pluto|charon|ike'.

pluto деп аталған жол libreswan-нан, charon strongSwan-нан келеді және екеуі бір күйді әртүрлі сөзбен сипаттайды. Іздеуге тұрарлық нысан — жоқ топты атайтын түрі, мысалы algorithm 'modp1024' is not supported, өйткені ол бұлыңғыр ақауды нақтыға айналдырады.

modp1024 қайда кетті

Diffie-Hellman 2-тобы соншалықты әлсіз, сондықтан бірнеше тарату 3.30-нан бастап оны libreswan ішіне компиляциялауды тоқтатты. Сонда жылдар бұрын жазылған немесе тек aes128-sha1-modp1024 тізімін беретін шлюз нұсқаулығынан алынған профиль жергілікті демоннан ол мүлде орындай алмайтын нәрсені талап етеді. Жаңа NetworkManager-l2tp құрылымдары бұл нәтижені ықтимал етеді: 1.2.16-дан бастап олар жиынтықты Windows 10 мен iOS стиліндегі ұсыныстармен алмастырады және libreswan анықталған бойда modp1024-ті тастайды. Қарсы тарап көбіне кінәсіз және әлі де сіз конфигурациялаған топты дәл ұсынады.

Дәл осы асимметрия ақауды кездейсоқ сезілтеді. Ескі клиент қосылады, жаңартылған ноутбукта сол профиль қосылмайды, ал сервер конфигурациясы ешқашан қозғалмаған. Залалды нұсқалардың ауытқуы келтіреді.

Әсер ауқымы әртүрлі екі жөндеу

Арзан жөндеу — алгоритмдерді қолмен қатаң жазудан бас тарту. Редактордағы екі ұсыныс өрісін де тазалап, қосымшаға алыс жақ қабылдайтын жиынтықты таңдауға мүмкіндік беріңіз; егер шлюз заманауи топтарды қолдаса, келіссөз қосымша жұмыссыз аяқталады.

Екінші жөндеу strongSwan орнату арқылы ескі шлюзді қолжетімді етеді, оның пакеттері көптеген таратуларда әлі де 2-топты іске асырады. Бұл демонды алмастыру, сондықтан құны бар: жою алдында хосттағы басқа туннельдер libreswan конфигурациясына тәуелді ме, соны тексеріңіз және Fedora-да NetworkManager мен strongSwan қосымшасы арасында SELinux бас тартуларын күтіңіз. Ол бас тартулар IKE ізінде емес, аудит журналында шығады, сол себепті сәтті орнатудан кейін бірден туннель сынған болып көрінуі мүмкін. Жұмыс істейтін рет: алдымен dnf install strongswan, содан кейін rpm -e libreswan.

Сәйкес келетін ұсыныс жолдары және олардың айналасындағы тұзақтар

Өрістерді қолмен толтыру керек болса, 1-фаза мен 2-фаза әртүрлі мән алады. Meraki стиліндегі қарсы жаққа қарсы жұмыс істейтіні белгілі жұп 1-фазада aes128-sha1-modp1024 пен оның артында 3des-sha1-modp1024 ұсынады, екеуі де жиынтықты қатаң ететін леп белгісімен жабылған, сондықтан тек сол ұсыныстар жіберіледі.

Содан кейін 2-фаза сол қатаң белгімен және Diffie-Hellman жұрнағысыз aes128-sha1 мен 3des-sha1-ке дейін тарылады. -modp1024 алып жүрген 2-фаза жолы — дұрыс емес өрістегі 1-фаза мәні, ал жауап беруші оны әр әрекетте қабылдамайды. Сол жолды екінші профильге көшіріңіз, екінші профиль де солай сәтсіз болады, осылайша бір теру қатесі бүкіл флоттың оқиғасына айналады.

Басқа ақаулар ұсыныс сәйкессіздігі болмаса да сол қалқымалы терезені киеді. KDE-де L2TP түрі қосымша орнатылған күйде тізілуі мүмкін, бірақ әр қосылым бірден өледі, өйткені қосылым редакторы мен орындалу уақытының көмекшілері бөлек пакеттермен келеді. Экрансыз хосттар жұмыс істеп тұрған жұмыс үстелінің профилін қайта пайдалана алады: оны /etc/NetworkManager/system-connections/-тен көшіріп, режимді 600-ге қойып, содан кейін nmcli con reload орындаңыз. Оны nmcli con up id work-l2tp арқылы көтеріңіз, өйткені жалаң нысан UUID талап етеді, және кез келген ескірген ifname жазбасын жойыңыз, әйтпесе қалғаны дұрыс болса да менеджер Could not find source connection деп жауап береді.

Алдын ала бөлінген кілт ашық мәтін түрінде немесе 0s және одан кейін base64 түрінде сақталуы мүмкін; екі нысан да жұмыс істейді, бірақ мән шлюзбен байт-байт сәйкесуі керек, соның ішінде онымен бірге көшірген соңғы бос орындар.