L2TP ನಲ್ಲಿ NO_PROPOSAL_CHOSEN? ಮೊದಲು ಗೇಟ್ವೇ ಸ್ಕ್ಯಾನ್ ಮಾಡಿ

ಬಳಕೆದಾರರ ಹೆಸರಿನ ಪ್ರಾಂಪ್ಟ್ ಎಂದಿಗೂ ಕಾಣಿಸಿಕೊಳ್ಳುವುದಿಲ್ಲ, ಮತ್ತು ಕ್ಲೈಂಟ್ NO_PROPOSAL_CHOSEN ಅನ್ನು ವರದಿ ಮಾಡುತ್ತದೆ. ಆ ಕ್ಷಣದಲ್ಲಿ ರುಜುವಾತುಗಳು ಮತ್ತು ಮೊದಲೇ ಹಂಚಿಕೊಂಡ ಕೀಲಿ ಅಪ್ರಸ್ತುತ, ಏಕೆಂದರೆ ಎರಡೂ ತುದಿಗಳು ಫೇಸ್ 1 ಅನ್ನು ಹೇಗೆ ರಕ್ಷಿಸಬೇಕೆಂದು ಒಪ್ಪಿಕೊಂಡಿಲ್ಲ. ಹೆಚ್ಚಿನ ಜನರು ಆನ್ಲೈನ್ ನಲ್ಲಿ ಕಂಡ ಸೈಫರ್ ಸ್ಟ್ರಿಂಗ್ ಅನ್ನು ಅಂಟಿಸಿ ಪ್ರತಿಕ್ರಿಯಿಸುತ್ತಾರೆ. ಗೇಟ್ವೇಯನ್ನು ಸ್ಕ್ಯಾನ್ ಮಾಡುವುದು ಅದೇ ಪ್ರಶ್ನೆಗೆ ಸಾಕ್ಷ್ಯದೊಂದಿಗೆ ಉತ್ತರಿಸುತ್ತದೆ ಮತ್ತು ಸುಮಾರು ಅಷ್ಟೇ ಸಮಯ ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ.

ಸಂದೇಶ ಏನನ್ನು ಹೊರಗಿಡುತ್ತದೆ

ನಿರಾಕರಣೆ ಮುಖ್ಯ ಮೋಡ್ನಲ್ಲಿ, ಯಾವುದೇ L2TP ಅಥವಾ PPP ವಿನಿಮಯಕ್ಕಿಂತ ಮೊದಲು ಸಂಭವಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಟನಲ್ ಮತ್ತು ಬಳಕೆದಾರರ ಡೇಟಾಬೇಸ್ ಪ್ರಶ್ನಿಸಲ್ಪಟ್ಟಿಲ್ಲ. ಫೇಸ್ 1 ಎನ್ಕ್ರಿಪ್ಶನ್, ಅಖಂಡತೆ ಮತ್ತು Diffie-Hellman ಗುಂಪಿನ ಬಗ್ಗೆ ಸಮಾಲೋಚಿಸುತ್ತದೆ. ಫೇಸ್ 2 ಡೇಟಾಗಾಗಿ ESP ಪ್ರಸ್ತಾವದ ಬಗ್ಗೆ ಸಮಾಲೋಚಿಸುತ್ತದೆ. ಫೇಸ್ 1 ರ ವೈಫಲ್ಯವನ್ನು ಫೇಸ್ 2 ರ PFS ಸೆಟ್ಟಿಂಗ್ ಬದಲಿಸಿ ಸರಿಪಡಿಸಲಾಗದು, ಮತ್ತು ಪೂರ್ಣಗೊಂಡ IKE ಸಂಬಂಧವು ESP ಪ್ರಸ್ತಾವ ಸೂಕ್ತವೆಂದು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ.

ಸಿಂಟ್ಯಾಕ್ಸ್ ಸಂಪಾದಿಸುವ ಮೊದಲು ಬ್ಯಾಕೆಂಡ್ ಅನ್ನು ದಾಖಲಿಸಿ: ipsec --version. libreswan ಮತ್ತು strongSwan ಒಂದೇ ಅಲ್ಗಾರಿದಮ್ಗಳಿಗೆ ಪ್ರಸ್ತಾವದ ಬೇರೆ ಬೇರೆ ಕಾಗುಣಿತಗಳನ್ನು ಸ್ವೀಕರಿಸುತ್ತವೆ.

ನಂತರ ನಿರಾಕರಣೆಯನ್ನು ಸಂದರ್ಭದಲ್ಲಿ ಇದರೊಂದಿಗೆ ಓದಿ: journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

ಗೇಟ್ವೇಯ ಟ್ರಾನ್ಸ್ಫಾರ್ಮ್ ಸೆಟ್ ಸ್ಕ್ಯಾನ್ ಮಾಡಿ

ಸ್ಕ್ಯಾನರ್ ಗೇಟ್ವೇಗೆ ಯಾವ ಟ್ರಾನ್ಸ್ಫಾರ್ಮ್ಗಳ ಬಗ್ಗೆ ಸಮಾಲೋಚಿಸುತ್ತದೆ ಎಂದು ನೇರವಾಗಿ ಕೇಳುತ್ತದೆ. ಮೊದಲು ಸ್ಥಳೀಯ IPsec ಸೇವೆಯನ್ನು ನಿಲ್ಲಿಸಿ, ಪರೀಕ್ಷೆಯು ನಿಮ್ಮ ಸ್ವಂತ ಕ್ಲೈಂಟ್ನೊಂದಿಗೆ ಸ್ಪರ್ಧಿಸದಂತೆ, ನಂತರ SA ಸಾಲುಗಳನ್ನು ಓದಿ. ಪಟ್ಟಿಯನ್ನು ಇನ್ನೊಂದು ತುದಿಯ ಬಗ್ಗೆ ಸಾಕ್ಷ್ಯವಾಗಿ ಪರಿಗಣಿಸಿ, ಎಲ್ಲವನ್ನೂ ಒಟ್ಟಿಗೆ ಸಕ್ರಿಯಗೊಳಿಸುವ ಮೆನುವಾಗಿ ಅಲ್ಲ.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

ಹಳೆಯ ಸಾಧನಗಳು ಸಾಮಾನ್ಯವಾಗಿ 3DES, SHA1 ಮತ್ತು MODP1024 ಅನ್ನು ನೀಡುತ್ತವೆ, ಏಕೆಂದರೆ ಉತ್ಪನ್ನ ರವಾನೆಯಾದಾಗ ಅವು ಡೀಫಾಲ್ಟ್ ಆಗಿದ್ದವು ಮತ್ತು ಯಾರೂ ಅವನ್ನು ಮರುಪರಿಶೀಲಿಸಲಿಲ್ಲ. ಸ್ಕ್ಯಾನ್ನ ಕಚ್ಚಾ ಔಟ್ಪುಟ್ ಅನ್ನು ಇರಿಸಿಕೊಳ್ಳಿ, ಏಕೆಂದರೆ ಆ ದಿನ ಇನ್ನೊಂದು ತುದಿ ಏನನ್ನು ನೀಡಿತು ಎಂಬುದರ ಏಕೈಕ ದಾಖಲೆ ಅದು. ಅದು ಲಭ್ಯವಿರುವ ಬಲವಾದ ಓವರ್ಲ್ಯಾಪ್ ಆಗಿದ್ದರೆ, ಸರಿಯಾದ ಎಸ್ಕಲೇಶನ್ ಗೇಟ್ವೇ ಮಾಲೀಕರ ಕಡೆಗೆ, ಎಲ್ಲರಿಗೂ ದುರ್ಬಲ ಕ್ರಿಪ್ಟೋಗ್ರಫಿಯನ್ನು ಮತ್ತೆ ಸಕ್ರಿಯಗೊಳಿಸುವ ಕ್ಲೈಂಟ್ ಕಾನ್ಫಿಗರೇಶನ್ ಕಡೆಗೆ ಅಲ್ಲ.

ಸುರಕ್ಷತೆಯನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸದೆ ಓವರ್ಲ್ಯಾಪ್ ಹೊಂದಿಸಿ

ಸ್ಕ್ಯಾನ್ ಮತ್ತು ನಿಮ್ಮ ನೀತಿ ಎರಡರಲ್ಲೂ ಕಾಣುವ ಟ್ರಾನ್ಸ್ಫಾರ್ಮ್ಗಳನ್ನು ಮಾತ್ರ ನಮೂದಿಸಿ. ಕೆಳಗಿನ ಉದಾಹರಣೆ ಫೇಸ್ 1 ರಲ್ಲಿ 3DES, SHA1 ಮತ್ತು MODP1024 ನೀಡುವ ಗೇಟ್ವೇಯನ್ನು ಪ್ರತಿಬಿಂಬಿಸುತ್ತದೆ. ಬ್ಯಾಕೆಂಡ್ ಕುರಿತ ಎಚ್ಚರಿಕೆಯನ್ನು ಗಮನಿಸಿ: libreswan 4.x modp1024 ಗುಂಪನ್ನು ಕಂಪೈಲ್ ಮಾಡುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಇದು strongSwan ಅಥವಾ DH2 ಬೆಂಬಲವಿರುವ libreswan ಬಿಲ್ಡ್ಗೆ ಅನ್ವಯಿಸುತ್ತದೆ. ಕ್ಲೈಂಟ್ ಕೆಟ್ಟಿದೆ ಎಂದು ತೀರ್ಮಾನಿಸುವ ಮೊದಲು ಆವೃತ್ತಿಯನ್ನು ಪರಿಶೀಲಿಸಿ.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

ಕೊನೆಯಲ್ಲಿನ ಆಶ್ಚರ್ಯ ಚಿಹ್ನೆ ಒಂದೇ ಪ್ರಸ್ತಾವವನ್ನು ಪಿನ್ ಮಾಡುತ್ತದೆ. ಪರೀಕ್ಷೆಯನ್ನು ಪ್ರತ್ಯೇಕಿಸಲು ಅದನ್ನು ಬಳಸಿ, ನಂತರ ತೆಗೆದುಹಾಕಿ, ಗೇಟ್ವೇ ನಂತರ ಬಲವಾದದ್ದನ್ನು ಸಮಾಲೋಚಿಸಲು ಸಾಧ್ಯವಾಗುತ್ತದೆ.

ಮತ್ತೆ ಪ್ರಯತ್ನಿಸುವ ಮೊದಲು ಡೀಮನ್ ಮತ್ತು ಪೋರ್ಟ್ ಪರಿಶೀಲಿಸಿ

NetworkManager-l2tp ತನ್ನದೇ ಆದ xl2tpd ಇನ್ಸ್ಟಾನ್ಸ್ ಪ್ರಾರಂಭಿಸುತ್ತದೆ. ಸಿಸ್ಟಂ ಸೇವೆ ಈಗಾಗಲೇ UDP 1701 ಅನ್ನು ಹೊಂದಿದ್ದರೆ, ಕ್ಲೈಂಟ್ ತಾತ್ಕಾಲಿಕ ಮೂಲ ಪೋರ್ಟ್ಗೆ ಹಿಂದೆ ಸರಿಯುತ್ತದೆ, ಇದನ್ನು RFC 3193 ಅನುಮತಿಸುತ್ತದೆ ಮತ್ತು ಕೆಲವು ಸರ್ವರ್ಗಳು ಸದ್ದಿಲ್ಲದೆ ಬಿಟ್ಟುಬಿಡುತ್ತವೆ. ಮುಂದಿನ ಪ್ರಯತ್ನಕ್ಕೆ ಮೊದಲು ಸಾಕೆಟ್ನ ಮಾಲೀಕರನ್ನು ಪರಿಶೀಲಿಸಿ.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

ಹಳೆಯದಾದ ಉತ್ಪಾದಿತ ರಹಸ್ಯಗಳು ಇನ್ನೊಂದು ಮೌನ ಕಾರಣ. ಇಲ್ಲಿರುವ ಫೈಲ್ಗಳು /etc/ipsec.d/ ಹಳೆಯ ಸಂಪರ್ಕಕ್ಕೆ ಹೆಸರಿಸಲಾದ ಫೈಲ್ಗಳು ಅವನ್ನು ರಚಿಸಿದ ಪ್ರೊಫೈಲ್ಗಿಂತ ಹೆಚ್ಚು ಕಾಲ ಉಳಿಯಬಹುದು, ಆದ್ದರಿಂದ ಯಾವುದೂ ಉಲ್ಲೇಖಿಸದವನ್ನು ತೆಗೆದುಹಾಕಿ ಮತ್ತೆ ಪ್ರಯತ್ನಿಸಿ.

ಕೊನೆಯದಾಗಿ, ಸಲಹೆ ಎಲ್ಲಿಂದ ಬಂತು ಎಂದು ಪರಿಶೀಲಿಸಿ. ipsec.conf IKEv1 XAuth ಗಾಗಿ ಬರೆದ ಫೈಲ್ ಬೇರೆ ರೀತಿಯ VPN ಅನ್ನು ವಿವರಿಸುತ್ತದೆ, ಮತ್ತು L2TP ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ಅದರ ಪ್ರಸ್ತಾವವೊಂದೇ ತಪ್ಪಾದ ಸಾಲಲ್ಲ. ನೀವು ನಮೂದಿಸಿದ ಟ್ರಾನ್ಸ್ಫಾರ್ಮ್ ಸೆಟ್ ಅನ್ನು ಪ್ರೊಫೈಲ್ನ ಪಕ್ಕದಲ್ಲಿ ದಾಖಲಿಸಿ, ಮುಂದಿನ ವ್ಯಕ್ತಿ ಪರೀಕ್ಷೆಯನ್ನು ಪುನರಾವರ್ತಿಸದಂತೆ.