Huet den Ubuntu-Upgrade L2TP/IPsec futti gemaach? Vergläicht d'IKEv1-Virschléi

D'Verbindung huet en Donneschdeg funktionéiert, den Upgrade ass en Freideg gelaf, an en Méindeg dréit de Client bei “connecting” an et gëtt op. Dee selwechten Laptop, dee selwechte Server, dee selwechte Kont, dee selwechte virdru gedeelte Schlëssel. Am Profil gouf näischt geännert, dofir verschwenden déi offensichtlech Verdächteger, d'Passwuert an d'Firewall, Är Zäit.

Wat sech geännert huet, ass d'Lëscht vun den Transformatiounen, déi Är Maschinn bereet ass unzebidden. Béid IPsec-Stäck, déi op Ubuntu benotzt ginn, strongSwan a Libreswan, schneiden Algorithmen eraus, déi se net méi sécher fannen, an de NetworkManager-Plugin, dee virun hinne steet, huet seng eegen Lëscht, déi sech no engem aneren Zäitplang beweegt. E Server, dee op 3DES, SHA1 an eng 1024-Bit-Diffie-Hellman-Grupp festgeluecht ass, kann am Endeffekt näischt héieren, wat en akzeptéiert.

Wat den Upgrade eigentlech geännert huet

Zwee Schichte fiddere d'IKEv1-Virschlag. Den Daemon liwwert e kompiléierte Standardvirschlagssatz, an de L2TP-Plugin verléisst sech drop oder liwwert seng eege Lëscht. Virun NetworkManager-l2tp 1.2.16 huet de Plugin sech drop verlooss, also war Äre Virschlag dat, wat den installéierten Daemon fir raisonnabel gehal huet. Vun 1.2.16 un schéckt de Plugin eng dokumentéiert Lëscht, déi no Windows- an Apple-Cliente modelléiert ass, an déi Lëscht ass méi breet wéi den ale Standard, awer enthält net méi all al Kombinatioun uewen an der Schlang.

Dës Spléckung erkläert e Feelermodus, deen d'Leit verwirrend fannen: zwee Maschinnen op derselwechter Ubuntu-Versioun kënnen sech verschidde behuelen, well déi eng de Distributiounspaket huet an déi aner e Backport, an d'Daemonversioun op béide gläich ausgesäit an engem Feelerbericht. Préift d'Pluginversioun, net just d'Daemonversioun, ier Dir schléisst, datt den Upgrade näischt Relevantes geännert huet.

Et gëtt eng méi kleng Fall an deem selwechte Beräich. Déi zwee Daemone schreiwen d'elliptesch-Kurve-Diffie-Hellman-Gruppen ënnerschiddlech, deen een schreift ecp384 an deen aneren ecp_384. Füügt déi falsch Schreifweis an den Advanced-Dialog an, an den Daemon refuséiert d'Astellung als net analyséierbar, wat an der Log als Verhandlungsproblem erschéngt an net als Tippfeeler an der Konfiguratioun.

Liest de Feeler, ier Dir eppes ännert

Fänkt domat un, wéi en Backend Dir bedreift, well d'Äntwert bestëmmt souwuel d'Syntax wéi och de Loguert.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

Liest dann den Austausch selwer. Op strongSwan schreift den Daemon an de Journal op enger aktueller Versioun an an /var/log/syslog op enger méi aler, an den interessante Deel ass de Virschlag, deen en schéckt, net déi lescht Linn. Dir sicht no Formuléierungen iwwer kee passende Virschlag, wat en Algorithmusproblem ass; en Authentifikatiounsfeeler, deen op de Schlëssel oder de Kont weist; oder en einfachen Timeout, deen op d'Erreechbarkeet weist.

Dës dräi Resultater ginn vill ze dacks als ee Symptom behandelt. En Timeout mat engem eidele Daemonlog heescht, datt d'Pakete net ukommen. Eng Refus vum Virschlag heescht, datt se ukomm sinn an ofgeleent goufen. Wann Är Log stëll ass, hieft den Debug-Niveau vum Plugin fir een Versuch an deementspriechend erof, well déi ausféierlech Ausgab e Journal séier fëllt.

Faas 1 a Faas 2 sinn getrennt Wetten

IKEv1 verhandelt zweemol. Den Haaptmodus baut d'IKE-Sécherheetsassociatioun aus engem Verschlësselungsalgorithmus, engem Integritéitsalgorithmus, enger Diffie-Hellman-Grupp an enger Authentifikatiounsmethod. De Schnellmodus baut dann d'ESP-Associatioun, déi L2TP dréit. De Server ass fräi, déi éischt ze akzeptéieren an déi zweet ofzeleenen, also schléit e hallefs richtegt Profil méi spéit fehl wéi Dir erwaart an et gesäit aus wéi en anere Feeler.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

D'Ausruffzeechen ass strongSwan-Syntax fir en strikten Andrag: bitt just dës eng Kombinatioun un an soss näischt. Ouni et geet den Andrag an eng Ersatzlëscht, wat gutt ass, wann de Partner modern ass, an kontraproduktiv, wann en en Apparat mat enger eenzeger haart kodéierter Politik ass. Betruecht d'Paar uewen als Illustratioun vun der Form, net als Empfehlung fir eppes, wat Dir haut baut.

Ännert ee Feld, dann widderhëlt den Test

Op engem aktuelle Plugin ass den éischten Test am séiersten, béid Virschlagsfelder komplett eidel ze maachen an sech nees ze verbannen, well déi geliwwert Standardlëscht schonn déi üblech Windows- an Apple-Kombinatioune enthält. Op engem méi alen Plugin gëtt hiert Eidelmaachen d'Kontroll un en Daemon zréck, deen den Algorithmus, op deen Äre Server insistéiert, vläicht ewechgehäit huet, an de Feeler gëtt méi schlëmm.

Wann d'Eidelmaachen net hëlleft, setzt d'strikt Paar, dat Äre Server dokumentéiert, eng Faas nom aneren. Ännert Faas 1, verbënnt Iech nees, a liest d'Log, ier Dir Faas 2 ugeet. Wann eng Kombinatioun endlech funktionéiert, schreift se nieft de Servermodell an d'Pluginversioun, well d'Standarden wäerte sech nees verréckelen an just déi Notiz mécht den nächsten Upgrade zu enger fënnefminutteger Kontroll.