L2TP-де NO_PROPOSAL_CHOSEN? Алдымен шлюзді скандаңыз

Пайдаланушы аты сұралмай тұрып сәтсіз аяқталған L2TP/IPsec клиенті 1-фаза бойынша ешқашан келіспеген. Шифр жолдарын қоюдың орнына шлюздің ұсыныс жиынтығын скандаңыз.

Пайдаланушы аты сұрауы ешқашан шықпайды және клиент NO_PROPOSAL_CHOSEN туралы хабарлайды. Сол сәтте тіркелгі деректері мен алдын ала бөліскен кілт маңызсыз, өйткені екі жақ 1-фазаны қалай қорғау керектігі туралы келіспеген. Көпшілік интернеттен тапқан шифр жолын қою арқылы жауап береді. Шлюзді скандау сол сұраққа дәлелдермен жауап береді және шамамен сондай уақыт алады.

Хабарлама нені жоққа шығарады

Бас тарту негізгі режимде, кез келген L2TP немесе PPP алмасуына дейін болады, сондықтан туннель мен пайдаланушылар базасы сұралмаған. 1-фаза шифрлау, тұтастық және Diffie-Hellman тобы бойынша келіссөз жүргізеді. 2-фаза деректер үшін ESP ұсынысы бойынша келіссөз жүргізеді. 1-фазадағы сәтсіздікті 2-фазаның PFS параметрін өзгертумен түзетуге болмайды, және аяқталған IKE бірлестігі ESP ұсынысының сәйкес екенін дәлелдемейді.

Синтаксисті өңдеу алдында backend-ті жазып алыңыз: ipsec --version. libreswan мен strongSwan бірдей алгоритмдер үшін ұсыныстың әртүрлі жазылуын қабылдайды.

Содан кейін бас тартуды мына командамен контексте оқыңыз: journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Шлюзді оның трансформациялар жиынтығы үшін скандаңыз

Сканер шлюзден қандай трансформациялар бойынша келіссөз жүргізетінін тікелей сұрайды. Алдымен жергілікті IPsec қызметін тоқтатыңыз, тексеру өз клиентіңізбен бәсекелеспесін, содан кейін SA жолдарын оқыңыз. Тізімді қарсы тарап туралы дәлел ретінде қараңыз, толығымен қосылатын мәзір ретінде емес.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Ескі құрылғылар жиі 3DES, SHA1 және MODP1024 ұсынады, өйткені бұлар өнім жөнелтілген кездегі әдепкі мәндер еді және ешкім оларды қайта қараған жоқ. Сканердің шикі шығысын сақтаңыз, өйткені бұл сол күні қарсы тарап ұсынған нәрсенің жалғыз жазбасы. Егер бұл қолжетімді ең күшті қабаттасу болса, дұрыс эскалация шлюз иесіне бағытталады, бәріне әлсіз криптографияны қайта қосатын клиент конфигурациясына емес.

Қауіпсіздікті өшірмей қабаттасуды сәйкестендіріңіз

Тек сканда да, саясатыңызда да кездесетін трансформацияларды енгізіңіз. Төмендегі мысал 1-фазада 3DES, SHA1 және MODP1024 ұсынатын шлюзді бейнелейді. Backend туралы ескертуге назар аударыңыз: libreswan 4.x modp1024 тобын компиляцияламайды, сондықтан бұл strongSwan немесе DH2 қолдауы бар libreswan құрастырмасына қатысты. Клиент бұзылған деп қорытынды жасамас бұрын нұсқаны тексеріңіз.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Соңындағы леп белгісі бір ұсынысты бекітеді. Оны тестті оқшаулау үшін қолданыңыз, содан кейін алып тастаңыз, шлюз кейінірек күштірек нәрсе бойынша келісе алады.

Қайта көшпес бұрын демон мен портты тексеріңіз

NetworkManager-l2tp өзінің xl2tpd данасын іске қосады. Егер жүйелік қызмет UDP 1701 портын ұстап тұрса, клиент уақытша бастапқы портқа көшеді, оған RFC 3193 рұқсат етеді және кейбір серверлер оны үнсіз тастайды. Келесі әрекеттен бұрын сокет иесін тексеріңіз.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Ескірген генерацияланған құпиялар тағы бір үнсіз себеп. Мына жердегі файлдар /etc/ipsec.d/ ескі қосылымға арналып аталған файлдар оларды жасаған профильден ұзақ өмір сүруі мүмкін, сондықтан оларға ештеңе сілтемейтін файлдарды жойып, қайталап көріңіз.

Соңында, кеңестің қайдан келгенін тексеріңіз. ipsec.conf IKEv1 XAuth үшін жазылған файл басқа VPN түрін сипаттайды және оның ұсынысы L2TP профиліндегі жалғыз қате жол емес. Енгізген трансформациялар жиынтығын профильдің жанына жазып қойыңыз, келесі адам тексеруді қайталамас үшін.

Қатысты мақалалар