L2TP에서 NO_PROPOSAL_CHOSEN? 먼저 게이트웨이를 스캔하세요

사용자 이름 프롬프트 전에 실패하는 L2TP/IPsec 클라이언트는 1단계에 합의하지 못한 것입니다. 암호 문자열을 붙여 넣는 대신 게이트웨이의 제안 집합을 스캔하세요.

사용자 이름 프롬프트가 나타나지 않고 클라이언트가 NO_PROPOSAL_CHOSEN을 보고합니다. 그 시점에서 자격 증명과 미리 공유한 키는 무관합니다. 양 끝이 1단계를 어떻게 보호할지 합의하지 않았기 때문입니다. 대부분은 온라인에서 찾은 암호 문자열을 붙여 넣는 것으로 대응합니다. 게이트웨이를 스캔하면 같은 질문에 증거를 갖고 답할 수 있고 걸리는 시간도 비슷합니다.

이 메시지가 배제하는 것

거부는 메인 모드에서, 어떤 L2TP나 PPP 교환보다도 먼저 일어나므로 터널과 사용자 데이터베이스는 조회되지 않았습니다. 1단계는 암호화, 무결성, Diffie-Hellman 그룹을 협상합니다. 2단계는 데이터용 ESP 제안을 협상합니다. 1단계 실패는 2단계 PFS 설정을 바꿔서 고칠 수 없습니다, 그리고 완료된 IKE 연결은 ESP 제안이 맞는다는 증거가 아닙니다.

구문을 편집하기 전에 백엔드를 기록하세요: ipsec --version. libreswan과 strongSwan은 같은 알고리즘에 대해 제안 표기를 다르게 받아들입니다.

그런 다음 거부를 다음 명령으로 문맥과 함께 읽으세요: journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

게이트웨이의 변환 집합을 스캔하세요

스캐너는 게이트웨이에 어떤 변환을 협상할지 직접 묻습니다. 먼저 로컬 IPsec 서비스를 중지해 탐색이 자체 클라이언트와 경쟁하지 않게 한 뒤 SA 줄을 읽으세요. 목록은 상대에 대한 증거로 다루고, 전부 켜는 메뉴로 보지 마세요.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

오래된 장비는 3DES, SHA1, MODP1024를 자주 제공합니다. 제품 출하 당시의 기본값이었고 아무도 다시 검토하지 않았기 때문입니다. 스캔 원본 출력을 보관하세요. 그날 상대가 무엇을 제공했는지 보여 주는 유일한 기록입니다. 그것이 사용 가능한 가장 강한 겹침이라면 올바른 에스컬레이션은 게이트웨이 소유자에게 하는 것이지, 모두에게 약한 암호를 다시 켜는 클라이언트 설정이 아닙니다.

안전성을 끄지 않고 겹침을 맞추세요

스캔과 정책 양쪽에 나타나는 변환만 입력하세요. 아래 예시는 1단계에서 3DES, SHA1, MODP1024를 제공하는 게이트웨이를 반영합니다. 백엔드 관련 주의를 보세요. libreswan 4.x는 modp1024 그룹을 컴파일하지 않으므로 이는 strongSwan이나 DH2 지원이 있는 libreswan 빌드에 해당합니다. 클라이언트가 고장 났다고 결론 내리기 전에 버전을 확인하세요.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

끝의 느낌표는 단일 제안을 고정합니다. 테스트를 분리할 때 사용하고, 나중에 제거해 게이트웨이가 더 강한 것을 협상할 수 있게 하세요.

다시 시도하기 전에 데몬과 포트를 확인하세요

NetworkManager-l2tp는 자체 xl2tpd 인스턴스를 시작합니다. 시스템 서비스가 이미 UDP 1701을 점유하고 있으면 클라이언트는 임시 원본 포트로 물러납니다. RFC 3193이 이를 허용하지만 일부 서버는 조용히 버립니다. 다음 시도 전에 소켓 소유자를 확인하세요.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

오래된 생성 비밀도 조용한 원인입니다. 다음 위치의 파일 /etc/ipsec.d/ 오래된 연결 이름으로 된 파일은 그것을 만든 프로필보다 오래 살아남을 수 있으므로 아무것도 참조하지 않는 파일을 삭제하고 다시 시도하세요.

마지막으로 그 조언이 어디서 왔는지 확인하세요.ipsec.conf IKEv1 XAuth용으로 작성된 파일은 다른 유형의 VPN을 설명하며, 그 제안만이 L2TP 프로필에서 틀린 줄은 아닙니다. 입력한 변환 집합을 프로필 옆에 기록해 다음 사람이 같은 탐색을 반복하지 않게 하세요.

관련 글