Ubuntu жаңыртуусу L2TP/IPsecти буздубу? IKEv1 сунуштарын салыштырыңыз

Байланыш бейшембиде иштеп жаткан, жаңыртуу жума күнү аткарылды, ал эми дүйшөмбү күнү кардар “connecting” абалында айланып, баш тартат. Ошол эле ноутбук, ошол эле сервер, ошол эле аккаунт, ошол эле алдын ала бөлүшүлгөн ачкыч. Профилде эч нерсе редакцияланган жок, ошондуктан анык шектүүлөр, сырсөз жана firewall, убактыңызды текке кетирет.

Өзгөргөн нерсе — машинаңыз сунуштоого даяр болгон трансформациялардын тизмеси. Ubuntu'до колдонулган эки IPsec стек, strongSwan жана Libreswan, эми коопсуз деп эсептебеген алгоритмдерди алып салат, ал эми алардын алдында турган NetworkManager плагининин өз тизмеси бар, ал башка график боюнча кыймылдайт. 3DES, SHA1 жана 1024 биттик Diffie-Hellman тобуна бекитилген сервер акыры өзү кабыл алган эч нерсени уга албай калышы мүмкүн.

Жаңыртуу чындыгында эмнени өзгөрттү

IKEv1 сунушун эки катмар азыктандырат. Демон компиляцияга киргизилген демейки сунуштар топтомун берет, ал эми L2TP плагини ага таянат же өз тизмесин берет. NetworkManager-l2tp 1.2.16 чейин плагин ага таянган, ошондуктан сиздин сунушуңуз орнотулган демон акылга сыярлык деп эсептеген нерсе болчу. 1.2.16 баштап плагин Windows жана Apple кардарларынын үлгүсүндө түзүлгөн документтелген тизмени жөнөтөт, жана бул тизме эски демейкиден кененирээк, бирок кезектин башындагы бардык эски айкалышты эми камтыбайт.

Бул бөлүнүү адамдарга түшүнүксүз көрүнгөн ийгиликсиздик үлгүсүн түшүндүрөт: бир эле Ubuntu чыгарылышындагы эки машина ар башка жүрүшү мүмкүн, анткени биринде дистрибутив пакети, экинчисинде backport бар, ал эми экөөндө тең демондун версиясы ката отчетунда бирдей көрүнөт. Жаңыртуу эч кандай маанилүү нерсени өзгөрткөн жок деп жыйынтык чыгарганга чейин, демондун версиясын гана эмес, плагиндин версиясын текшериңиз.

Ошол эле аймакта кичирээк тузак бар. Эки демон эллипстик ийри Diffie-Hellman топторун ар башка жазат, бири ecp384, экинчиси ecp_384 деп жазат. Туура эмес жазылышты Advanced диалогуна чаптаңыз, демон параметрди талдоого келбейт деп четке кагат, бул журналда конфигурациянын тамга катасы эмес, сүйлөшүү көйгөйү катары көрүнөт.

Бир нерсени өзгөртүүдөн мурун ийгиликсиздикти окуңуз

Кайсы backend иштеп жатканынан баштаңыз, анткени жооп синтаксисти да, журналдын ордун да аныктайт.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

Андан кийин алмашуунун өзүн окуңуз. strongSwan'да демон учурдагы чыгарылышта journal'га, эскисинде /var/log/syslog'го жазат, жана кызыктуу бөлүгү — акыркы сап эмес, ал жөнөткөн сунуш. Сиз дал келген сунуш жок деген сөздү издейсиз, бул алгоритм көйгөйү; аутентификациянын ийгиликсиздигин, ал ачкычка же аккаунтка көрсөтөт; же жөнөкөй timeout'ту, ал жеткиликтүүлүккө көрсөтөт.

Бул үч натыйжаны өтө эле көп учурда бир симптом катары кабыл алышат. Бош демон журналы менен timeout пакеттер келбей жатканын билдирет. Сунуштун четке кагылышы алар келип, четке кагылганын билдирет. Эгер журналыңыз унчукпаса, бир аракет үчүн плагиндин жөндөө деңгээлин көтөрүп, кийин төмөндөтүңүз, анткени кеңири чыгарылыш journal'ды тез толтурат.

1-фаза жана 2-фаза өзүнчө коюмдар

IKEv1 эки жолу сүйлөшөт. Негизги режим IKE коопсуздук ассоциациясын шифрлөө алгоритминен, бүтүндүк алгоритминен, Diffie-Hellman тобунан жана аутентификация ыкмасынан курат. Анан тез режим L2TP ташыган ESP ассоциациясын курат. Сервер биринчисин кабыл алып, экинчисин четке кагууга эркин, ошондуктан жарым туура профиль күткөндөн кеч ийгиликсиз болуп, башка катага окшошуп көрүнөт.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

Леп белгиси strongSwan синтаксисинде катуу жазууну билдирет: ушул бир айкалышты гана сунушта, башка эч нерсе жок. Ансыз жазуу камдык тизмеге кошулат, бул өнөктөш заманбап болгондо жакшы, ал эми бир катуу коддолгон саясаты бар түзмөк болгондо зыяндуу. Жогорудагы жупту форманын иллюстрациясы катары караңыз, бүгүн куруп жаткан кандайдыр бир нерсеге сунуш катары эмес.

Бир талааны өзгөртүп, анан тестти кайталаңыз

Учурдагы плагинде эң тез биринчи тест — эки сунуш талаасын толук тазалап, кайра туташуу, анткени берилген демейки тизме кадимки Windows жана Apple айкалыштарын камтыйт. Эскирээк плагинде аларды тазалоо башкарууну сервериңиз талап кылган алгоритмди таштап койгон болушу мүмкүн болгон демонго кайтарат, жана ийгиликсиздик начарлайт.

Эгер тазалоо жардам бербесе, сервериңиз документтеген катуу жупту бир фазадан коюңуз. 1-фазаны өзгөртүп, кайра туташыңыз жана 2-фазага тийүүдөн мурун журналды окуңуз. Айкалыш акыры иштегенде, аны сервер моделинин жана плагин версиясынын жанына жазып коюңуз, анткени демейкилер кайра жылат жана ошол эскертүү кийинки жаңыртууну беш мүнөттүк текшерүүгө айландырат.