NO_PROPOSAL_CHOSEN bei L2TP? Scannt fir d’éischt de Gateway

D’Benotzernumm-Ufro erschéngt ni, an de Client mellt NO_PROPOSAL_CHOSEN. Um deem Moment sinn d’Umeldungsdaten an dee viru gedeelte Schlëssel irrelewant, well sech déi zwou Säiten net drop eens gi sinn, wéi d’Phase 1 soll geschützt ginn. Déi meescht Leit reagéieren, andeem se en Cipher-String afügen, de se online fonnt hunn. En Scan vum Gateway beäntwert déiselwecht Fro mat Beweiser an dauert ongeféier esou laang.

Wat d’Noriicht ausschléisst

D’Oflehnung geschitt am Haaptmodus, virun all L2TP- oder PPP-Austausch, sou datt den Tunnel an d’Benotzerdatebank net gefrot goufen. D’Phase 1 verhandelt Verschlësselung, Integritéit an eng Diffie-Hellman-Grupp. D’Phase 2 verhandelt den ESP-Virlag fir d’Donnéeën. E Feeler an der Phase 1 léisst sech net duerch eng Ännerung vun enger PFS-Astellung an der Phase 2 behiewen, an eng ofgeschlossen IKE-Associatioun beweist net, datt den ESP-Virlag passt.

Notéiert de Backend, ier dir d’Syntax änneret: ipsec --version. libreswan a strongSwan akzeptéieren ënnerschiddlech Schreifweise vum Virlag fir déi selwecht Algorithmen.

Liest duerno d’Oflehnung am Kontext mat journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Scannt de Gateway fir säin Transform-Set

En Scanner freet de Gateway direkt, wéi eng Transformen e verhandele wäert. Stoppt fir d’éischt den lokalen IPsec-Service, sou datt d’Probe net mat Ärem eegene Client konkurréiert, a liest duerno d’SA-Linnen. Behandelt d’Lëscht als Beweis iwwer de Peer, net als Menü fir alles op eemol anzeschalten.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Méi al Apparate bidden dacks 3DES, SHA1 a MODP1024 un, well dat d’Standardwäerter waren, wéi d’Produkt verschéckt gouf, an et huet een se net nach eng Kéier iwwerpréift. Halt d’ro Scan-Ausgab, well se ass deen eenzegen Notiz, wat de Peer deem Dag ugebueden huet. Wann dat déi bescht Iwwerlappung ass, déi et gëtt, gehéiert d’Eskalatioun dem Gateway-Besëtzer, net enger Client-Konfiguratioun, déi fir jiddereen erëm schwache Kryptografie aschalt.

Passt d’Iwwerlappung un, ouni d’Sécherheet auszeschalten

Gitt nëmmen déi Transformen an, déi souwuel am Scan wéi och an Ärer Politik virkommen. D’Beispill ënnendrënner spigelt e Gateway, deen an der Phase 1 3DES, SHA1 a MODP1024 ubitt. Beuecht de Backend-Virbehalt: libreswan 4.x kompiléiert d’modp1024-Grupp net, dofir gëllt dëst fir strongSwan oder e libreswan-Build mat DH2-Ënnerstëtzung. Iwwerpréift d’Versioun, ier dir ofschléisst, datt de Client futti ass.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

En Ausruffzeechen um Schluss fixéiert een eenzegen Virlag. Benotzt et, fir en Test ze isoléieren, a läscht et duerno, sou datt de Gateway méi spéit eppes Stäerkes kann ausméchelen.

Iwwerpréift den Daemon an de Port, ier dir et nach eng Kéier probéiert

NetworkManager-l2tp start seng eegen xl2tpd-Instanz. Wann de Systemservice schonn den UDP 1701 huet, fällt de Client op en efemere Quellport zréck, wat den RFC 3193 erlaabt an eenzel Serveren et stëll verwerfen. Iwwerpréift den Owner vum Socket virum nächsten Versuch.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Vereelten generéierte Geheimnisser sinn eng aner stëll Ursaach. Dateien ënner /etc/ipsec.d/ déi no enger aler Verbindung benannt sinn, kënnen d’Profil iwwerliewe wat se erstallt huet, also läscht déi, op déi näischt verweist, a probéiert et nach eng Kéier.

Iwwerpréift schliisslech, wou de Rot hierkënnt. Eng ipsec.conf déi fir IKEv1 XAuth geschriwwe gouf, beschreift eng aner VPN-Zort, an hire Virlag ass net déi eenzeg Linn, déi an engem L2TP-Profil falsch wäert sinn. Notéiert den Transform-Set, deen dir aggin hutt, niewent dem Profil, sou datt déi nächst Persoun d’Probe net widderhëlt.