L2TP NO_PROPOSAL_CHOSEN: wéi eng Phas ass wierklech feelgeschloen?

NO_PROPOSAL_CHOSEN kënnt, ier iergendeen PPP-Benotzernumm iwwerpréift gëtt, wat eng nëtzlech Tatsaach ass an och de Grond, firwat d'Message irreféiert. Si mellt, datt eng Säit e Virschlag ofgeleent huet; si mellt net, wéi ee Parameter net iwwerenee gestëmmt huet, a si seet näischt dozou, ob d'Oflehnung beim Opbau vun der IKE-Associatioun oder méi spéit bei der Verhandlung iwwer de Verkéiersschutz geschitt ass. Hannert dësen zwou Méiglechkeeten stinn zwou verschidde Korrekturen, a just eng dovun dréit sech ëm d'PFS-Këscht, déi d'Leit als éischt ufänken.

Eng Message, zwou Sätz vu Virschléi

D'IKEv1-L2TP/IPsec-Andeelung huet zwou Verhandlunge mol hannereneen. Phas 1 baut d'IKE-Sécherheetsassociatioun aus engem Verschlësselungsalgorithmus, engem Integritéitsalgorithmus an enger Diffie-Hellman-Grupp. Duerno verhandelt Phas 2, wéi den Verkéier geschützt gëtt, an d'PFS-Ufuerderung gehéiert zu där zweeter Konversatioun.

Well d'Phase konsekutiv sinn, seet Iech d'Plaz vum Feeler, wéi eng Lëscht ze vergläichen ass. Doran läit de ganzen diagnostesche Wäert vun der Message, an et ass wäert, deen erauszezéien, ier Dir eng Astellung ufaasst.

Firwat eng PFS-Këscht d'Phas 1 net reparéiere kann

D'PFS ofzeschalten ännert eng Eegeschaft vun der Phas 2. Wann d'Parte sech ni iwwer d'Phas 1 eens gi sinn, geschitt d'ESP-Konversatioun guer net, dofir huet d'Këscht guer keen Afloss op d'Oflehnung, an dofir gëtt beim Ëmstellen déiselwecht Feeler mat engem aneren Zäitstempel.

De géigendeel Feeler ass grad esou heefeg. Eng erfollegräich IKE-Associatioun beweise net, datt de ESP-Virschlag akzeptabel ass, a si beweise sécher net, datt d'Grupp vun der Phas 2 iwwerenee passt. Behandelt en etabléierten Administratiounstunnel als Beweis just iwwer d'Phas 1. D'Leit liesen déi gréng Linn als „den Tunnel ass uewen“, a verbréngen duerno eng Stonn op der falscher Phas, well hinne näischt gesot huet, datt déi zweet Verhandlung nach net ugefaangen hat.

Liest de Log, ier Dir Algorithmen auswielt

Sammelt d'Messagen direkt virun der Oflehnung vum Backend, dee wierklech d'Verbindung verschafft, a korreléiert si mat deem selwechten Versuch. Ouni déi Korrelatioun liest Dir d'Historique vun enger anerer Verbindung an zitt Schlëss dovunner.

journalctl -b -u NetworkManager --since "10 min ago"
ipsec statusall          # strongSwan
ipsec whack --status     # Libreswan

Aus dëse Linnen, beäntwert zwou Froen: huet sech eng Associatioun vun der Phas 1 etabléiert, a wéi een Austausch ass feelgeschloen. Déi zwou Äntwerten enken d'Sich op eng eenzeg Lëscht vun Attributen an. Eng blooss Benoriichtung ouni Kontext ronderëm kann dat net, sou verlockend et och ass, e Virschlag aus engem Forumsthread ze probéieren. D'Kopéiere vun enger funktionéierender Zeecheketten vun enger Maschinn mat engem anere Backend ersetzt meeschtens eng Oflehnung duerch eng aner, e bësse méi spéit.

D'Syntax vum Backend reest net

Notéiert d'Versioun vum NetworkManager-l2tp an d'Versioun vum IPsec-Backend, ier Dir eppes vergläicht. Libreswan a strongSwan deelen net d'Virschlagsyntax oder identesch Algorithmesätz, dofir ass eng Zeecheketten, déi an deem eenen funktionéiert, an deem aneren e Syntaxfeeler. Den installéierte Backend kann och IKEv1 no Politik refuséieren, an dann gëtt keen Virschlag jeemools ugeholl.

D'README vum Projet dokumentéiert déi Backendëntschäder an hält d'Felder vun der Phas 1 an der Phas 2 getrennt. Liest se als Dokumentatioun vun der Struktur, net als Invitatioun, all historesch Chiffre an eng schwaach Grupp anzeschalten, well eng Verbindung, déi just sou geléngt, net déi Verbindung ass, déi Dir gefrot gouft ze bauen.

Verdeelt Iech op d'Suit, a verifizéiert duerno d'Etappen

Frot den Operateur vum Gateway, wéi eng IKE- an ESP-Suiten ënnerstëtzt a guttgeheescht sinn, a vergläicht duerno déi Äntwert mat de effektive Virschléi vum Client amplaz mat senger Konfiguratiounsdatei. Wann den Ënnerscheed speziell ëm d'PFS vun der Phas 2 geet, eenegt Iech op eng ënnerstëtzte Grupp oder op eng ausdrécklech guttgeheescht Politik ouni PFS. Leet d'Politik net aus dem Numm vum Feeler of.

Wann déi eenzeg Iwwerschneidung Kryptografie verlaangt, déi d'Organisatioun net méi akzeptéiert, gehéiert d'Entscheedung zum Gateway oder zu enger Protokollmigratioun. D'Clientzeecheketten esou laang verbreeden, bis eppes verhandelt, ass eng Manéier, eng bekannt Schwächt mat engem gréngen Häk derbäi ze liwweren.

Nodeems Dir déi richteg Ongenauegkeet korrigéiert hutt, bestätegt den IPsec-Opbau, ier Dir L2TP a PPP ënnersicht, a behandelt all spéider Authentifikatiounsoflehnung als zu der nächster Etapp gehéierend. Testt duerno d'Erneierungen am guttgeheeschten Testprozess, well den Opbau vun der éischter Associatioun seet näischt iwwer de Rescht vun hirer Liewensdauer.