Ubuntu жаңартуы L2TP/IPsec-ті бұзды ма? IKEv1 ұсыныстарын салыстырыңыз

Қосылым бейсенбіде жұмыс істеді, жаңарту жұмада орындалды, ал дүйсенбіде клиент “connecting” күйінде айналып, бас тартады. Сол ноутбук, сол сервер, сол аккаунт, сол алдын ала ортақтасқан кілт. Профильде ештеңе өңделмеген, сондықтан айқын күдіктілер, құпия сөз бен firewall, уақытыңызды жояды.

Өзгерген нәрсе — машинаңыз ұсынуға дайын трансформациялар тізімі. Ubuntu-да қолданылатын екі IPsec стек, strongSwan және Libreswan, енді қауіпсіз деп санамайтын алгоритмдерді алып тастайды, ал олардың алдында тұрған NetworkManager плагинінің өз тізімі бар, ол басқа кесте бойынша қозғалады. 3DES, SHA1 және 1024 биттік Diffie-Hellman тобына бекітілген сервер ақырында өзі қабылдайтын ештеңені естімей қалуы мүмкін.

Жаңарту шын мәнінде нені өзгертті

IKEv1 ұсынысын екі қабат қоректендіреді. Демон компиляцияға кіріктірілген әдепкі ұсыныстар жиынын береді, ал L2TP плагині не соған сүйенеді, не өз тізімін ұсынады. NetworkManager-l2tp 1.2.16 дейін плагин соған сүйенетін, сондықтан сіздің ұсынысыңыз орнатылған демон дұрыс деп санаған нәрсе болатын. 1.2.16 бастап плагин Windows және Apple клиенттері үлгісінде жасалған құжатталған тізім жібереді, және бұл тізім ескі әдепкіден кеңірек, бірақ кезектің басындағы барлық ескі комбинацияны енді қамтымайды.

Бұл бөліну адамдарға түсініксіз көрінетін сәтсіздік үлгісін түсіндіреді: бір Ubuntu шығарылымындағы екі машина әртүрлі әрекет етуі мүмкін, өйткені бірінде дистрибутив пакеті, екіншісінде backport бар, ал екеуіндегі демон нұсқасы қате есебінде бірдей көрінеді. Жаңарту ешбір маңызды нәрсені өзгертпеді деп қорытынды жасамас бұрын, тек демон нұсқасын емес, плагин нұсқасын тексеріңіз.

Сол аймақта кішірек тұзақ бар. Екі демон эллиптикалық қисық Diffie-Hellman топтарын әртүрлі жазады, біреуі ecp384, екіншісі ecp_384 деп жазады. Қате жазылысты Advanced диалогына қойыңыз, демон параметрді талдауға келмейтін деп қабылдамайды, бұл журналда конфигурация қатесі емес, келіссөз мәселесі ретінде көрінеді.

Бірдеңені өзгерту алдында сәтсіздікті оқыңыз

Қай backend жұмыс істеп тұрғанынан бастаңыз, өйткені жауап синтаксисті де, журналдың орнын да анықтайды.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

Содан кейін алмасудың өзін оқыңыз. strongSwan-да демон ағымдағы шығарылымда journal-ға, ал ескісінде /var/log/syslog-қа жазады, және қызықты бөлігі — соңғы жол емес, ол жіберетін ұсыныс. Сіз сәйкес ұсыныс жоқ деген тұжырымды іздейсіз, бұл алгоритм мәселесі; аутентификация сәтсіздігін, ол кілтке немесе аккаунтқа меңзейді; немесе қарапайым timeout-ты, ол қолжетімділікке меңзейді.

Бұл үш нәтижені тым жиі бір симптом ретінде қарастырады. Бос демон журналымен timeout пакеттердің келмейтінін білдіреді. Ұсыныстың қабылданбауы олардың келіп, қабылданбағанын білдіреді. Егер журналыңыз үнсіз болса, бір әрекет үшін плагиннің жөндеу деңгейін көтеріп, кейін төмендетіңіз, өйткені егжей-тегжейлі шығыс journal-ды тез толтырады.

1-фаза мен 2-фаза бөлек бәс

IKEv1 екі рет келіссөз жүргізеді. Негізгі режим IKE қауіпсіздік ассоциациясын шифрлау алгоритмінен, тұтастық алгоритмінен, Diffie-Hellman тобынан және аутентификация әдісінен құрады. Жылдам режим содан кейін L2TP таситын ESP ассоциациясын құрады. Сервер біріншісін қабылдап, екіншісін қабылдамауға ерікті, сондықтан жартылай дұрыс профиль күткеннен кеш сәтсіз аяқталады және басқа қатеге ұқсайды.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

Леп белгісі strongSwan синтаксисінде қатаң жазбаны білдіреді: тек осы бір комбинацияны ұсын, басқа ештеңе жоқ. Онсыз жазба қосалқы тізімге қосылады, бұл серіктес заманауи болса жақсы, ал бір қатаң кодталған саясаты бар құрылғы болса зиянды. Жоғарыдағы жұпты пішіннің иллюстрациясы ретінде қарастырыңыз, бүгін салып жатқан кез келген нәрсеге ұсыным ретінде емес.

Бір өрісті өзгертіп, содан кейін тестті қайталаңыз

Ағымдағы плагинде ең жылдам бірінші тест — екі ұсыныс өрісін толық тазалап, қайта қосылу, өйткені жеткізілген әдепкі тізім әдеттегі Windows және Apple комбинацияларын қамтиды. Ескірек плагинде оларды тазалау басқаруды серверіңіз талап ететін алгоритмді тастап кеткен болуы мүмкін демонға қайтарады, және сәтсіздік нашарлайды.

Егер тазалау көмектеспесе, серверіңіз құжаттайтын қатаң жұпты бір фазадан орнатыңыз. 1-фазаны өзгертіп, қайта қосылыңыз және 2-фазаға тиіспес бұрын журналды оқыңыз. Комбинация ақыры жұмыс істегенде, оны сервер үлгісі мен плагин нұсқасының жанына жазып қойыңыз, өйткені әдепкілер қайта жылжиды және дәл сол жазба келесі жаңартуды бес минуттық тексеріске айналдырады.