Ubuntu ಅಪ್ಗ್ರೇಡ್ L2TP/IPsec ಅನ್ನು ಮುರಿಯಿತೇ? IKEv1 ಪ್ರಸ್ತಾವಗಳನ್ನು ಹೋಲಿಸಿ

ಸಂಪರ್ಕ ಗುರುವಾರ ಕೆಲಸ ಮಾಡುತ್ತಿತ್ತು, ಅಪ್ಗ್ರೇಡ್ ಶುಕ್ರವಾರ ನಡೆಯಿತು, ಮತ್ತು ಸೋಮವಾರ ಕ್ಲೈಂಟ್ “connecting” ನಲ್ಲಿ ತಿರುಗಿ ಬಿಟ್ಟುಬಿಡುತ್ತದೆ. ಅದೇ ಲ್ಯಾಪ್ಟಾಪ್, ಅದೇ ಸರ್ವರ್, ಅದೇ ಖಾತೆ, ಅದೇ ಮೊದಲೇ ಹಂಚಿದ ಕೀ. ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ಏನನ್ನೂ ಸಂಪಾದಿಸಲಾಗಿಲ್ಲ, ಆದ್ದರಿಂದ ಸ್ಪಷ್ಟ ಸಂಶಯಿತರು, ಪಾಸ್ವರ್ಡ್ ಮತ್ತು ಫೈರ್ವಾಲ್, ನಿಮ್ಮ ಸಮಯವನ್ನು ವ್ಯರ್ಥ ಮಾಡುತ್ತಾರೆ.

ಬದಲಾದದ್ದು ನಿಮ್ಮ ಯಂತ್ರವು ನೀಡಲು ಸಿದ್ಧವಿರುವ ರೂಪಾಂತರಗಳ ಪಟ್ಟಿ. Ubuntu ನಲ್ಲಿ ಬಳಸುವ ಎರಡೂ IPsec ಸ್ಟ್ಯಾಕ್ಗಳು, strongSwan ಮತ್ತು Libreswan, ಇನ್ನು ಮುಂದೆ ಸುರಕ್ಷಿತ ಎಂದು ಪರಿಗಣಿಸದ ಅಲ್ಗಾರಿದಮ್ಗಳನ್ನು ತೆಗೆದುಹಾಕುತ್ತವೆ, ಮತ್ತು ಅವುಗಳ ಮುಂದೆ ಇರುವ NetworkManager ಪ್ಲಗಿನ್ಗೆ ತನ್ನದೇ ಪಟ್ಟಿ ಇದೆ, ಅದು ಬೇರೆ ವೇಳಾಪಟ್ಟಿಯಲ್ಲಿ ಚಲಿಸುತ್ತದೆ. 3DES, SHA1 ಮತ್ತು 1024 ಬಿಟ್ Diffie-Hellman ಗುಂಪಿಗೆ ಪಿನ್ ಆಗಿರುವ ಸರ್ವರ್ ಕೊನೆಗೆ ತಾನು ಸ್ವೀಕರಿಸುವ ಯಾವುದನ್ನೂ ಕೇಳದೇ ಹೋಗಬಹುದು.

ಅಪ್ಗ್ರೇಡ್ ನಿಜವಾಗಿ ಏನನ್ನು ಬದಲಾಯಿತು

IKEv1 ಪ್ರಸ್ತಾವವನ್ನು ಎರಡು ಪದರಗಳು ಪೋಷಿಸುತ್ತವೆ. ಡೀಮನ್ ಕಂಪೈಲ್ ಮಾಡಿದ ಡೀಫಾಲ್ಟ್ ಪ್ರಸ್ತಾವ ಸೆಟ್ ಅನ್ನು ಒದಗಿಸುತ್ತದೆ, ಮತ್ತು L2TP ಪ್ಲಗಿನ್ ಒಂದೋ ಅದನ್ನು ಅವಲಂಬಿಸುತ್ತದೆ ಅಥವಾ ತನ್ನದೇ ಪಟ್ಟಿಯನ್ನು ನೀಡುತ್ತದೆ. NetworkManager-l2tp 1.2.16 ಮೊದಲು ಪ್ಲಗಿನ್ ಅದನ್ನು ಅವಲಂಬಿಸಿತ್ತು, ಆದ್ದರಿಂದ ನಿಮ್ಮ ಪ್ರಸ್ತಾವವು ಸ್ಥಾಪಿತ ಡೀಮನ್ ಸೂಕ್ತ ಎಂದು ಪರಿಗಣಿಸಿದ್ದು. 1.2.16 ರಿಂದ ಪ್ಲಗಿನ್ Windows ಮತ್ತು Apple ಕ್ಲೈಂಟ್ಗಳ ಮೇಲೆ ರೂಪಿಸಿದ ದಾಖಲಿತ ಪಟ್ಟಿಯನ್ನು ಕಳುಹಿಸುತ್ತದೆ, ಮತ್ತು ಆ ಪಟ್ಟಿ ಹಳೆಯ ಡೀಫಾಲ್ಟ್ಗಿಂತ ವಿಶಾಲವಾಗಿದೆ ಆದರೆ ಸರದಿಯ ಮುಂಭಾಗದಲ್ಲಿನ ಪ್ರತಿ ಹಳೆಯ ಸಂಯೋಜನೆಯನ್ನು ಇನ್ನು ಒಳಗೊಂಡಿಲ್ಲ.

ಆ ವಿಭಜನೆ ಜನರಿಗೆ ಗೊಂದಲಮಯ ಎನಿಸುವ ವಿಫಲತೆಯ ಮಾದರಿಯನ್ನು ವಿವರಿಸುತ್ತದೆ: ಒಂದೇ Ubuntu ಬಿಡುಗಡೆಯ ಎರಡು ಯಂತ್ರಗಳು ವಿಭಿನ್ನವಾಗಿ ವರ್ತಿಸಬಹುದು ಏಕೆಂದರೆ ಒಂದರಲ್ಲಿ ವಿತರಣಾ ಪ್ಯಾಕೇಜ್ ಇದೆ ಮತ್ತು ಇನ್ನೊಂದರಲ್ಲಿ backport ಇದೆ, ಮತ್ತು ಬಗ್ ವರದಿಯಲ್ಲಿ ಎರಡರಲ್ಲೂ ಡೀಮನ್ ಆವೃತ್ತಿ ಒಂದೇ ರೀತಿ ಕಾಣುತ್ತದೆ. ಅಪ್ಗ್ರೇಡ್ ಯಾವುದೇ ಸಂಬಂಧಿತ ಬದಲಾವಣೆ ಮಾಡಿಲ್ಲ ಎಂದು ತೀರ್ಮಾನಿಸುವ ಮೊದಲು ಪ್ಲಗಿನ್ ಆವೃತ್ತಿಯನ್ನು ಪರಿಶೀಲಿಸಿ, ಡೀಮನ್ ಆವೃತ್ತಿ ಮಾತ್ರವಲ್ಲ.

ಅದೇ ಪ್ರದೇಶದಲ್ಲಿ ಸಣ್ಣ ಬಲೆ ಇದೆ. ಎರಡೂ ಡೀಮನ್ಗಳು ದೀರ್ಘವೃತ್ತೀಯ ವಕ್ರ Diffie-Hellman ಗುಂಪುಗಳನ್ನು ಬೇರೆ ರೀತಿ ಬರೆಯುತ್ತವೆ, ಒಂದು ecp384 ಬರೆಯುತ್ತದೆ ಮತ್ತು ಇನ್ನೊಂದು ecp_384. ತಪ್ಪು ಕಾಗುಣಿತವನ್ನು Advanced ಸಂವಾದದಲ್ಲಿ ಅಂಟಿಸಿ, ಡೀಮನ್ ಸೆಟ್ಟಿಂಗ್ ಅನ್ನು ವಿಶ್ಲೇಷಿಸಲಾಗದದ್ದು ಎಂದು ತಿರಸ್ಕರಿಸುತ್ತದೆ, ಅದು ಲಾಗ್ನಲ್ಲಿ ಕಾನ್ಫಿಗರೇಶನ್ ಟೈಪಿಂಗ್ ದೋಷದ ಬದಲು ಮಾತುಕತೆ ಸಮಸ್ಯೆಯಾಗಿ ಕಾಣುತ್ತದೆ.

ಏನನ್ನಾದರೂ ಬದಲಿಸುವ ಮೊದಲು ವಿಫಲತೆಯನ್ನು ಓದಿ

ನೀವು ಯಾವ ಬ್ಯಾಕೆಂಡ್ ಚಲಾಯಿಸುತ್ತಿದ್ದೀರಿ ಎಂಬುದರಿಂದ ಪ್ರಾರಂಭಿಸಿ, ಏಕೆಂದರೆ ಉತ್ತರವು ವಾಕ್ಯರಚನೆ ಮತ್ತು ಲಾಗ್ನ ಸ್ಥಳ ಎರಡನ್ನೂ ನಿರ್ಧರಿಸುತ್ತದೆ.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

ನಂತರ ವಿನಿಮಯವನ್ನೇ ಓದಿ. strongSwan ನಲ್ಲಿ ಡೀಮನ್ ಪ್ರಸ್ತುತ ಬಿಡುಗಡೆಯಲ್ಲಿ journal ಗೆ ಮತ್ತು ಹಳೆಯದರಲ್ಲಿ /var/log/syslog ಗೆ ಬರೆಯುತ್ತದೆ, ಮತ್ತು ಆಸಕ್ತಿದಾಯಕ ಭಾಗ ಎಂದರೆ ಅದು ಕಳುಹಿಸುವ ಪ್ರಸ್ತಾವ, ಕೊನೆಯ ಸಾಲಲ್ಲ. ನೀವು ಹೊಂದಿಕೆಯಾಗುವ ಪ್ರಸ್ತಾವ ಇಲ್ಲ ಎಂಬ ಪದಗುಚ್ಛವನ್ನು ಹುಡುಕುತ್ತಿದ್ದೀರಿ, ಅದು ಅಲ್ಗಾರಿದಮ್ ಸಮಸ್ಯೆ; ದೃಢೀಕರಣ ವಿಫಲತೆ, ಅದು ಕೀ ಅಥವಾ ಖಾತೆಯತ್ತ ಸೂಚಿಸುತ್ತದೆ; ಅಥವಾ ಸರಳ ಟೈಮೌಟ್, ಅದು ತಲುಪುವಿಕೆಯತ್ತ ಸೂಚಿಸುತ್ತದೆ.

ಈ ಮೂರು ಫಲಿತಾಂಶಗಳನ್ನು ಹೆಚ್ಚಾಗಿ ಒಂದೇ ಲಕ್ಷಣವಾಗಿ ಪರಿಗಣಿಸಲಾಗುತ್ತದೆ. ಖಾಲಿ ಡೀಮನ್ ಲಾಗ್ನೊಂದಿಗೆ ಟೈಮೌಟ್ ಎಂದರೆ ಪ್ಯಾಕೆಟ್ಗಳು ಬರುತ್ತಿಲ್ಲ. ಪ್ರಸ್ತಾವದ ನಿರಾಕರಣೆ ಎಂದರೆ ಅವು ಬಂದು ನಿರಾಕರಿಸಲ್ಪಟ್ಟವು. ನಿಮ್ಮ ಲಾಗ್ ಮೌನವಾಗಿದ್ದರೆ, ಒಂದು ಪ್ರಯತ್ನಕ್ಕೆ ಪ್ಲಗಿನ್ನ ಡೀಬಗ್ ಮಟ್ಟವನ್ನು ಹೆಚ್ಚಿಸಿ ನಂತರ ಕಡಿಮೆ ಮಾಡಿ, ಏಕೆಂದರೆ ವಿಸ್ತೃತ ಔಟ್ಪುಟ್ journal ಅನ್ನು ಬೇಗ ತುಂಬುತ್ತದೆ.

ಫೇಜ್ 1 ಮತ್ತು ಫೇಜ್ 2 ಪ್ರತ್ಯೇಕ ಪಂತಗಳು

IKEv1 ಎರಡು ಬಾರಿ ಮಾತುಕತೆ ನಡೆಸುತ್ತದೆ. ಮುಖ್ಯ ಮೋಡ್ IKE ಭದ್ರತಾ ಸಂಘವನ್ನು ಎನ್ಕ್ರಿಪ್ಶನ್ ಅಲ್ಗಾರಿದಮ್, ಸಮಗ್ರತೆ ಅಲ್ಗಾರಿದಮ್, Diffie-Hellman ಗುಂಪು ಮತ್ತು ದೃಢೀಕರಣ ವಿಧಾನದಿಂದ ನಿರ್ಮಿಸುತ್ತದೆ. ನಂತರ ತ್ವರಿತ ಮೋಡ್ L2TP ಸಾಗಿಸುವ ESP ಸಂಘವನ್ನು ನಿರ್ಮಿಸುತ್ತದೆ. ಸರ್ವರ್ ಮೊದಲನೆಯದನ್ನು ಸ್ವೀಕರಿಸಿ ಎರಡನೆಯದನ್ನು ತಿರಸ್ಕರಿಸಲು ಸ್ವತಂತ್ರವಾಗಿದೆ, ಆದ್ದರಿಂದ ಅರ್ಧ ಸರಿಯಾದ ಪ್ರೊಫೈಲ್ ನೀವು ನಿರೀಕ್ಷಿಸುವುದಕ್ಕಿಂತ ತಡವಾಗಿ ವಿಫಲವಾಗುತ್ತದೆ ಮತ್ತು ಬೇರೆ ಬಗ್ ಎಂಬಂತೆ ಕಾಣುತ್ತದೆ.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

ಆಶ್ಚರ್ಯಸೂಚಕ ಚಿಹ್ನೆ strongSwan ವಾಕ್ಯರಚನೆಯಲ್ಲಿ ಕಟ್ಟುನಿಟ್ಟಿನ ನಮೂದು: ಈ ಒಂದು ಸಂಯೋಜನೆಯನ್ನು ಮಾತ್ರ ನೀಡಿ, ಬೇರೆ ಏನೂ ಇಲ್ಲ. ಅದಿಲ್ಲದೆ ನಮೂದು ಫಾಲ್ಬ್ಯಾಕ್ ಪಟ್ಟಿಗೆ ಸೇರುತ್ತದೆ, ಅದು ಎದುರು ಪಕ್ಷ ಆಧುನಿಕವಾದಾಗ ಒಳ್ಳೆಯದು ಮತ್ತು ಒಂದೇ ಕಠಿಣವಾಗಿ ಕೋಡ್ ಮಾಡಿದ ನೀತಿ ಇರುವ ಸಾಧನವಾದಾಗ ಹಾನಿಕರ. ಮೇಲಿನ ಜೋಡಿಯನ್ನು ರೂಪದ ಉದಾಹರಣೆಯಾಗಿ ಪರಿಗಣಿಸಿ, ಇಂದು ನೀವು ನಿರ್ಮಿಸುತ್ತಿರುವ ಯಾವುದಕ್ಕೂ ಶಿಫಾರಸಾಗಿ ಅಲ್ಲ.

ಒಂದು ಕ್ಷೇತ್ರವನ್ನು ಬದಲಿಸಿ, ನಂತರ ಪರೀಕ್ಷೆಯನ್ನು ಪುನರಾವರ್ತಿಸಿ

ಪ್ರಸ್ತುತ ಪ್ಲಗಿನ್ನಲ್ಲಿ ಅತ್ಯಂತ ವೇಗದ ಮೊದಲ ಪರೀಕ್ಷೆ ಎಂದರೆ ಎರಡೂ ಪ್ರಸ್ತಾವ ಕ್ಷೇತ್ರಗಳನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ಖಾಲಿ ಮಾಡಿ ಮತ್ತೆ ಸಂಪರ್ಕಿಸುವುದು, ಏಕೆಂದರೆ ಒದಗಿಸಿದ ಡೀಫಾಲ್ಟ್ ಪಟ್ಟಿ ಸಾಮಾನ್ಯ Windows ಮತ್ತು Apple ಸಂಯೋಜನೆಗಳನ್ನು ಈಗಾಗಲೇ ಒಳಗೊಂಡಿದೆ. ಹಳೆಯ ಪ್ಲಗಿನ್ನಲ್ಲಿ ಅವುಗಳನ್ನು ಖಾಲಿ ಮಾಡುವುದು ನಿಯಂತ್ರಣವನ್ನು ನಿಮ್ಮ ಸರ್ವರ್ ಒತ್ತಾಯಿಸುವ ಅಲ್ಗಾರಿದಮ್ ಅನ್ನು ಬಿಟ್ಟುಬಿಟ್ಟಿರಬಹುದಾದ ಡೀಮನ್ಗೆ ಹಿಂತಿರುಗಿಸುತ್ತದೆ, ಮತ್ತು ವಿಫಲತೆ ಇನ್ನಷ್ಟು ಹದಗೆಡುತ್ತದೆ.

ಖಾಲಿ ಮಾಡುವುದು ಸಹಾಯ ಮಾಡದಿದ್ದರೆ, ನಿಮ್ಮ ಸರ್ವರ್ ದಾಖಲಿಸುವ ಕಟ್ಟುನಿಟ್ಟಿನ ಜೋಡಿಯನ್ನು ಒಂದೊಂದು ಫೇಜಿನಂತೆ ಹೊಂದಿಸಿ. ಫೇಜ್ 1 ಬದಲಿಸಿ, ಮತ್ತೆ ಸಂಪರ್ಕಿಸಿ, ಮತ್ತು ಫೇಜ್ 2 ಅನ್ನು ಸ್ಪರ್ಶಿಸುವ ಮೊದಲು ಲಾಗ್ ಓದಿ. ಸಂಯೋಜನೆ ಕೊನೆಗೆ ಕೆಲಸ ಮಾಡಿದಾಗ, ಅದನ್ನು ಸರ್ವರ್ ಮಾದರಿ ಮತ್ತು ಪ್ಲಗಿನ್ ಆವೃತ್ತಿಯ ಪಕ್ಕದಲ್ಲಿ ಬರೆದಿಡಿ, ಏಕೆಂದರೆ ಡೀಫಾಲ್ಟ್ಗಳು ಮತ್ತೆ ಸರಿಯುತ್ತವೆ ಮತ್ತು ಆ ಟಿಪ್ಪಣಿಯೇ ಮುಂದಿನ ಅಪ್ಗ್ರೇಡ್ ಅನ್ನು ಐದು ನಿಮಿಷಗಳ ಪರಿಶೀಲನೆಯಾಗಿ ಬದಲಿಸುತ್ತದೆ.