L2TP: өлүмдүү сигнал 15, NO_PROPOSAL_CHOSEN жана жок modp1024

Байланышыңыз тоңуп калат, кардар чыгып кетет, экрандагы акыркы сап death_handler: Fatal signal 15 received. Бул сап токтотуу жөнүндө кабарлайт, себебин эмес. IPsec журналында бир сап жогору дээрлик ар дайым NO_PROPOSAL_CHOSEN болот, ал эми бул түгөй алмашуунун 2-фазасына көрсөтөт, анда тараптар шифрлөө жана хэш тандоону салыштырып, жалпы эч нерсе жок болсо токтошот. Бул этапта кирүү маалыматтары али жөнөтүлгөн эмес, ошондуктан сырсөздү кайра теруу натыйжаны өзгөртө албайт.

Linux кардарында бул кесилишти адатта эки нерсе бошотот. Жергиликтүү демон профиль талап кылган Diffie-Hellman тобун мындан ары ишке ашырбашы мүмкүн, же профиль 1-фаза сунушун 2-фаза талаасында алып жүрүшү мүмкүн. Экөө тең журналда из калтырат жана экөө тең эсеп маселеси эмес.

Эки билдирүү чындыгында эмне дейт

IKE баскычтар менен сүйлөшөт. 1-фаза корголгон канал куруп, өз алгоритмдерин тандайт; 2-фаза, б.а. бала SA, трафикти өзүнчө топтом менен ташыйт. NO_PROPOSAL_CHOSEN — сунушталган айкалыштардын бири да кабыл алынбаганда жооп берүүчү кайтарган билдирүү, ал INFORMATIONAL алмашуусунун ичинде [ HASH N(NO_PROP) ] түрүндө көрүнөт.

15-сигнал башка окуя: бир нерсе жергиликтүү процесске токтоону буйруду жана иштетүүчү аны жазып алды. Эки сап бирге көрүнгөндө тартип себептүү: адегенде баш тартуу, анан өчүрүү.

Кирүү маалыматтарына тийиштин алдында сүйлөшүүнү окуңуз

Журнал деңгээлин демон жазган жерде көтөрүңүз, анан чыгышты байкоо менен кайра туташыңыз. NetworkManager хостунда L2TP кошумчасы бул деңгээлди backend'ге өткөрөт, ал эми билдирүүлөр таратууга жараша journal'га же классикалык syslog файлына түшөт. Булардын кайсынысы болбосун алмашууну көрсөтөт: journalctl -f -u NetworkManager | grep -Ei 'pluto|charon|no_prop|proposal' же tail -f /var/log/syslog | grep -Ei 'pluto|charon|ike'.

pluto деп аталган сап libreswan'дан, charon strongSwan'дан келет жана экөө бир эле абалды башка сөздөр менен сүрөттөйт. Издөөгө татыктуу форма — жок топту атаган түрү, мисалы algorithm 'modp1024' is not supported, анткени ал бүдөмүк катаны так катага айландырат.

modp1024 кайда кетти

Diffie-Hellman 2-тобу ушунчалык алсыз, ошондуктан бир нече таратуу 3.30'дан бери аны libreswan'га компиляциялоону токтотту. Ошондо жылдар мурун жазылган же болгону aes128-sha1-modp1024 тизмелеген шлюз колдонмосунан алынган профиль жергиликтүү демондон ал такыр аткара албаган нерсени талап кылат. Жаңы NetworkManager-l2tp курулуштары бул натыйжаны ыктымал кылат: 1.2.16'дан бери алар топтомду Windows 10 жана iOS стилиндеги сунуштар менен алмаштырат жана libreswan аныкталгандан кийин modp1024'тү ташташат. Каршы тарап көбүнчө күнөөсүз жана дагы эле сиз конфигурациялаган топту так сунуштайт.

Так ушул асимметрия катаны кокустук сыяктуу көрсөтөт. Эски кардар туташат, жаңыртылган ноутбукта ошол эле профиль туташпайт, ал эми сервердин конфигурациясы эч качан козголгон эмес. Зыянды версиялардын айырмасы келтирет.

Таасир аймагы ар башка эки оңдоо

Арзан оңдоо — алгоритмдерди кол менен катып жазууну токтотуу. Редактордогу эки сунуш талаасын тең тазалап, кошумчага алыскы тарап кабыл алган топтомду тандоого жол бериңиз; эгер шлюз заманбап топторду колдосо, сүйлөшүү кошумча ишсиз бүтөт.

Экинчи оңдоо strongSwan орнотуу аркылуу эски шлюзду жеткиликтүү кармайт, анын пакеттери көпчүлүк таратууларда дагы эле 2-топту ишке ашырат. Бул демонду алмаштыруу, ошондуктан баасы бар: алып салуудан мурун хосттогу башка туннелдер libreswan конфигурациясына көз карандыбы, аны текшериңиз жана Fedora'да NetworkManager менен strongSwan кошумчасынын ортосунда SELinux баш тартууларын күтүңүз. Ал баш тартуулар IKE изинде эмес, аудит журналында чыгат, ошондуктан ийгиликтүү орнотуудан кийин эле туннель сынгандай көрүнүшү мүмкүн. Иштеген тартип: адегенде dnf install strongswan, анан rpm -e libreswan.

Дал келген сунуш саптары жана алардын айланасындагы тузактар

Талааларды кол менен толтуруу керек болгондо 1-фаза жана 2-фаза ар башка маани алышат. Meraki стилиндеги каршы тарапка каршы иштеэри белгилүү түгөй 1-фазада aes128-sha1-modp1024 жана анын артында 3des-sha1-modp1024 сунуштайт, экөө тең топтомду катуу кылган дүүлүк белгиси менен жабылган, ошондуктан ошол сунуштар гана жөнөтүлөт.

Анан 2-фаза ошол эле катуу белги менен жана Diffie-Hellman уландысысыз aes128-sha1 жана 3des-sha1 чейин куушурат. -modp1024 алып жүргөн 2-фаза сабы — туура эмес талаадагы 1-фаза мааниси, ал эми жооп берүүчү аны ар бир аракетте четке кагат. Ошол сапты экинчи профилге көчүрүңүз, экинчи профиль да ушундай ийгиликсиз болот, ошентип бир терүү катасы бүт флоттун окуясына айланат.

Башка бузулуулар сунуш дал келбестиги болбосо да ошол калкыма терезени кийишет. KDE'де L2TP түрү кошумча орнотулган күйүндө тизмелениши мүмкүн, бирок ар бир байланыш дароо өлөт, анткени байланыш редактору жана аткаруу убактысынын жардамчылары өзүнчө пакеттер менен келет. Экрансыз хосттор иштеген иш тактасынын профилин кайра колдоно алышат: аны /etc/NetworkManager/system-connections/'дан көчүрүп, режимди 600'гө коюп, анан nmcli con reload аткарыңыз. Аны nmcli con up id work-l2tp менен көтөрүңүз, анткени жылаңач форма UUID талап кылат, жана каалаган эскирген ifname жазуусун алып салыңыз, болбосо калганы туура болсо да менеджер Could not find source connection деп жооп берет.

Алдын ала бөлүшүлгөн ачкыч ачык текст катары же 0s жана андан кийин base64 катары сакталышы мүмкүн; эки форма тең иштейт, бирок маани шлюз менен байт-байт дал келиши керек, аны менен бирге көчүргөн акыркы боштуктарды кошкондо.