L2TP'де NO_PROPOSAL_CHOSEN? Адегенде шлюзди скандаңыз

Колдонуучу атын суроодон мурун ишке ашпаган L2TP/IPsec кардары 1-фаза боюнча эч качан макулдашкан эмес. Шифр саптарын чаптоонун ордуна шлюздун сунуштар топтомун скандаңыз.

Колдонуучу атын суроо эч качан чыкпайт жана кардар NO_PROPOSAL_CHOSEN тууралуу билдирет. Ошол учурда каттоо маалыматтары жана алдын ала бөлүшүлгөн ачкыч маанисиз, анткени эки тарап 1-фазаны кантип коргоо керектиги боюнча макулдашкан эмес. Көпчүлүк интернеттен тапкан шифр сабын чаптоо менен жооп берет. Шлюзди скандоо ошол эле суроого далилдер менен жооп берет жана болжол менен ошондой убакыт алат.

Билдирүү эмнени жокко чыгарат

Баш тартуу негизги режимде, каалаган L2TP же PPP алмашууга чейин болот, ошондуктан туннель жана колдонуучулар базасы суралган эмес. 1-фаза шифрлөө, бүтүндүк жана Diffie-Hellman тобу боюнча сүйлөшүү жүргүзөт. 2-фаза маалыматтар үчүн ESP сунушу боюнча сүйлөшүү жүргүзөт. 1-фазадагы ийгиликсиздикти 2-фазанын PFS параметрин өзгөртүү менен оңдоого болбойт, жана аяктаган IKE биригүү ESP сунушу туура келерин далилдебейт.

Синтаксисти түзөтүүдөн мурун backend'ди жазып алыңыз: ipsec --version. libreswan жана strongSwan бирдей алгоритмдер үчүн сунуштун ар башка жазылышын кабыл алат.

Андан кийин баш тартууну төмөнкү буйрук менен контекстте окуңуз: journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Шлюзди анын трансформациялар топтому үчүн скандаңыз

Сканер шлюзден кайсы трансформациялар боюнча сүйлөшөрүн түз сурайт. Адегенде жергиликтүү IPsec кызматын токтотуңуз, текшерүү өз кардарыңыз менен атаандашпасын, анан SA саптарын окуңуз. Тизмени каршы тарап тууралуу далил катары караңыз, толугу менен күйгүзүлүүчү меню катары эмес.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Эски түзмөктөр көп учурда 3DES, SHA1 жана MODP1024 сунуштайт, анткени булар продукт жөнөтүлгөн кездеги демейки маанилер эле жана эч ким аларды кайра карап чыккан эмес. Сканердин чийки чыгышын сактаңыз, анткени ал ошол күнү каршы тарап эмне сунуштаганынын жалгыз жазуусу. Эгер бул жеткиликтүү эң күчтүү кабатташуу болсо, туура эскалация шлюз ээсине багытталат, баарына алсыз криптографияны кайра күйгүзгөн кардар конфигурациясына эмес.

Коопсуздукту өчүрбөй кабатташууну дал келтириңиз

Сканда да, саясатыңызда да кездешкен трансформацияларды гана киргизиңиз. Төмөнкү мисал 1-фазада 3DES, SHA1 жана MODP1024 сунуштаган шлюзди чагылдырат. Backend тууралуу эскертүүгө көңүл буруңуз: libreswan 4.x modp1024 тобун компиляциялабайт, ошондуктан бул strongSwan же DH2 колдоосу бар libreswan курулушуна тиешелүү. Кардар бузулган деп жыйынтык чыгарганга чейин версияны текшериңиз.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Аягындагы үндөш белгиси бир сунушту бекитет. Аны тестти бөлүп алуу үчүн колдонуңуз, анан алып салыңыз, шлюз кийинчерээк күчтүүрөөк нерсе боюнча сүйлөшө алсын.

Кайра аракет кылуудан мурун демонду жана портту текшериңиз

NetworkManager-l2tp өзүнүн xl2tpd нускасын иштетет. Эгер системалык кызмат UDP 1701ди ээлеп турса, кардар убактылуу булак портуна өтөт, ага RFC 3193 уруксат берет жана айрым серверлер аны үнсүз таштайт. Кийинки аракеттен мурун сокеттин ээсин текшериңиз.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Эскирген генерацияланган сырлар дагы бир үнсүз себеп. Мына жердеги файлдар /etc/ipsec.d/ эски туташууга аталып жасалган файлдар аларды жараткан профилден узак жашашы мүмкүн, ошондуктан эч нерсе шилтемебеген файлдарды жок кылып, кайра аракет кылыңыз.

Акырында, кеңеш кайдан келгенин текшериңиз. ipsec.conf IKEv1 XAuth үчүн жазылган файл башка VPN түрүн сүрөттөйт жана анын сунушу L2TP профилиндеги жалгыз туура эмес сап эмес. Киргизген трансформациялар топтомун профилдин жанына жазып коюңуз, кийинки адам текшерүүнү кайталабасын.

Тектеш макалалар