L2TP: fatale Signal 15, NO_PROPOSAL_CHOSEN a fehlenden modp1024

Är Verbindung hänkt, de Client geet eraus, an déi lescht Zeil um Bildschierm ass death_handler: Fatal signal 15 received. Déi Zeil mellt en Ofbroch, net eng Ursaach. Eng Zeil driwwer am IPsec-Log steet bal ëmmer NO_PROPOSAL_CHOSEN, an d'Paar weist op d'Phas 2 vum Austausch, wou d'Säiten d'Verschlësselungs- an Hash-Awale vergläichen an ophalen, wann se keng gemeinsam hunn. D'Login-Donnéeë sinn zu deem Zäitpunkt nach net geschéckt, dowéinst kann d'Passwuert nach eng Kéier ze tippen d'Resultat net änneren.

Normalerweis maachen zwou Saachen déi Kräizung op engem Linux-Client eidel. Den lokalen Daemon implementéiert vläicht déi vum Profil gefuerdert Diffie-Hellman-Grupp net méi, oder de Profil dréit e Virschlag aus der Phas 1 an engem Feld vun der Phas 2. Béides hannerléisst Spueren am Log, an et ass keng vun hinne e Kontproblem.

Wat déi zwou Message wierklech soen

IKE verhandelt a Passen. D'Phas 1 baut e geschützte Kanal a wielt seng eegen Algorithmen; d'Phas 2, de Kanner-SA, dréit Traffic ënner engem separat Set. NO_PROPOSAL_CHOSEN ass d'Notifikatioun, déi en Äntwerer zréckschéckt, wann keng vun den ugebuedene Kombinatiounen akzeptabel ass, an se erschéngt als [ HASH N(NO_PROP) ] bannen engem INFORMATIONAL-Austausch.

Signal 15 ass en aneren Evenement: eppes huet dem lokale Prozess gesot, opzehalen, an den Handler huet et geloggt. Wann déi zwou Zeilen zesummen erschénge, ass d'Reiefolleg kausal, fir d'éischt Oflehnung an duerno Ausmaachen.

Liest d'Verhandlung, ier Dir d'Login-Donnéeë beréiert

Hieft de Log-Niveau do, wou den Daemon schreift, a verbënnt Iech duerno erëm, während Dir den Output observéiert. Op engem NetworkManager-Host gëtt den L2TP-Plug-in deen Niveau un de Backend weider, an d'Messagen landen am Journal oder an der klassescher syslog-Datei, jee no Distributioun. Eng vun dësen zwee weist den Austausch: journalctl -f -u NetworkManager | grep -Ei 'pluto|charon|no_prop|proposal' oder tail -f /var/log/syslog | grep -Ei 'pluto|charon|ike'.

Eng Zeil, déi pluto nennt, kënnt aus libreswan, charon aus strongSwan, an déi zwou beschreiwen dee selwechten Zoustand mat anere Wierder. D'Form, déi et sech lount ze sichen, ass déi, déi déi fehlend Grupp nennt, zum Beispill algorithm 'modp1024' is not supported, well se eng vag Feeler zu enger konkreter mécht.

Wou modp1024 hikomm ass

D'Diffie-Hellman-Grupp 2 ass schwaach genuch, datt verschidden Distributiounen opgehalen hunn, se zanter 3.30 an libreswan ze kompiléieren. Dann freet e Profil, dee viru Joren geschriwwe gouf, oder aus engem Gateway-Guide iwwerholl gouf, dee just aes128-sha1-modp1024 opzielt, den lokalen Daemon eppes, wat hien iwwerhaapt net ka leeschten. Méi nei NetworkManager-l2tp-Builden maachen dat Resultat méi wahrscheinlech: zanter 1.2.16 ersetzen se de Set duerch Virschléi am Stil vun Windows 10 an iOS a loossen modp1024 fale, soubal libreswan erkannt gëtt. Déi aner Säit ass dacks onschëlleg a bitt nach ëmmer genau déi Grupp un, déi Dir konfiguréiert hutt.

Dës Asymmetrie ass et, déi de Feeler zoufälleg wierke léisst. En eelere Client verbënnt sech, dee selwechte Profil op engem aktualiséierte Laptop net, an d'Serverkonfiguratioun huet sech ni geréckelt. De Schued mécht de Versiounsdrift.

Zwou Reparaturen mat ënnerschiddlecher Reichwäit

Déi bëlleg Reparatur ass, d'Algorithmen net méi haart ze kodéieren. Läscht béid Virschlagsfelder am Editor an loosst de Plug-in e Set wielen, deen déi aner Säit akzeptéiert; wann de Gateway modern Gruppe stäipt, ass d'Verhandlung ouni weider Aarbecht fäerdeg.

Déi zweet Reparatur hält en ale Gateway erreechbar, andeem strongSwan installéiert gëtt, deem seng Pakete op de meeschten Distributiounen nach ëmmer Grupp 2 implementéieren. Dat ass en Daemonswiessel, also kascht et eppes: iwwerpréift, ob aner Tunnelen um Host vun der libreswan-Konfiguratioun ofhänken, ier Dir se ewech hëlt, a rechent ënner Fedora mat SELinux-Refusen tëscht NetworkManager an dem strongSwan-Plug-in. Déi Refuse kommen am Audit-Log op, net an der IKE-Spur, dofir kann en Tunnel direkt no enger erfollegräicher Installatioun futti ausgesinn. D'Reiefolleg, déi funktionéiert, ass fir d'éischt dnf install strongswan, duerno rpm -e libreswan.

Virschlagsstréng, déi passen, an d'Falen ronderëm

Wa d'Felder vun Hand gefëllt musse ginn, huelen d'Phas 1 an d'Phas 2 verschidde Wäerter. E Paar, dat bekannt ass, géint eng Géigesäit am Meraki-Stil ze funktionéieren, bitt an der Phas 1 aes128-sha1-modp1024 mat 3des-sha1-modp1024 hannendrun, béid duerch en Ausruffzeechen zougemaach, dat de Set strikt mécht, sou datt nëmmen déi Virschléi geschéckt ginn.

D'Phas 2 verengt sech duerno op aes128-sha1 an 3des-sha1 mat deemselwechte strikte Marker an ouni iergendeen Diffie-Hellman-Suffix. Eng Zeil vun der Phas 2, déi -modp1024 dréit, ass e Wäert aus der Phas 1 am falsche Feld, an den Äntwerer refuséiert se bei all Versuch. Kopéiert déi Zeil an en zweeten Profil, an den zweeten Profil fällt och esou aus, an esou gëtt ee Tippfeeler en Tëschefall fir déi ganz Flott.

Aner Feeler droen dee selwechte Popup, ouni Virschlags-Net-iwwereneestëmmungen ze sinn. Op KDE kann den L2TP-Typ opgezielt sinn, obwuel de Plug-in installéiert ass, wärend all Verbindung direkt stierft, well den Editeur fir d'Verbindungen an d'Runtime-Hëllefsprogrammer als separat Pakete geliwwert ginn. Hosts ouni Bildschierm kënnen e Profil vun engem funktionéierende Desktop weider benotzen: kopéiert en aus /etc/NetworkManager/system-connections/, setzt de Modus op 600, an dann ausféieren nmcli con reload. Hieft en mat nmcli con up id work-l2tp, well déi plakeg Form eng UUID wëll, a läscht all vergaangen ifname-Aschreiwung, soss äntwert de Manager Could not find source connection, während alles anescht richteg ass.

En zum Viraus gedeelte Schlëssel kann als kloer Text oder als 0s duerno base64 gespäichert ginn; béid Forme funktionéieren, awer de Wäert muss mam Gateway Byte fir Byte iwwerenee stëmmen, inklusiv de Schlussplazen, déi Dir mat him kopéiert hutt.