NO_PROPOSAL_CHOSEN L2TP? Pirmiausia nuskaitykite tinklų sietuvą

L2TP/IPsec klientas, kuris nepavyksta prieš vartotojo vardo užklausą, niekada nesusitarė dėl 1 fazės. Nuskaitykite tinklų sietuvo pasiūlymų rinkinį, o ne įklijuokite šifravimo eilutes.

Vartotojo vardo užklausa taip ir nepasirodo, o klientas praneša NO_PROPOSAL_CHOSEN. Tuo metu prisijungimo duomenys ir iš anksto bendrinamas raktas nesvarbūs, nes dvi pusės nesusitarė, kaip apsaugoti 1 fazę. Dauguma žmonių reaguoja įklijuodami internete rastą šifravimo eilutę. Tinklų sietuvo nuskaitymas atsako į tą patį klausimą su įrodymais ir užima maždaug tiek pat laiko.

Ką pranešimas atmeta

Atmetimas vyksta pagrindiniu režimu, prieš bet kokius L2TP ar PPP mainus, todėl tunelis ir vartotojų duomenų bazė nebuvo klausti. 1 fazė derasi dėl šifravimo, vientisumo ir Diffie-Hellman grupės. 2 fazė derasi dėl duomenų ESP pasiūlymo. 1 fazės gedimo negalima ištaisyti pakeitus 2 fazės PFS nustatymą, ir užbaigta IKE asociacija neįrodo, kad ESP pasiūlymas tinka.

Užfiksuokite backend prieš redaguodami sintaksę: ipsec --version. libreswan ir strongSwan priima skirtingas pasiūlymo rašybos variantus tiems patiems algoritmams.

Tada perskaitykite atmetimą kontekste su journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Nuskaitykite tinklų sietuvą, kad sužinotumėte jo transformacijų rinkinį

Skeneris tiesiogiai klausia tinklų sietuvo, dėl kurių transformacijų jis derėsis. Pirmiausia sustabdykite vietinę IPsec tarnybą, kad patikra nekonkuruotų su jūsų pačių klientu, tada perskaitykite SA eilutes. Traktuokite sąrašą kaip įrodymą apie kitą pusę, o ne kaip meniu, kurį reikia įjungti visą.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Senesni įrenginiai dažnai siūlo 3DES, SHA1 ir MODP1024, nes tai buvo numatytosios reikšmės produkto siuntimo metu ir niekas jų neperžiūrėjo. Išsaugokite neapdorotą nuskaitymo išvestį, nes tai vienintelis įrašas apie tai, ką kita pusė pasiūlė tą dieną. Jei tai stipriausias galimas sutapimas, tinkama eskalacija yra tinklų sietuvo savininkui, o ne kliento konfigūracijai, kuri visiems vėl įjungia silpną kriptografiją.

Suderinkite sutapimą neišjungdami saugumo

Įveskite tik tas transformacijas, kurios pasirodo ir nuskaityme, ir jūsų politikoje. Toliau pateiktas pavyzdys atspindi tinklų sietuvą, siūlantį 3DES, SHA1 ir MODP1024 1 fazėje. Atkreipkite dėmesį į backend išlygą: libreswan 4.x nekompiliuoja modp1024 grupės, todėl tai taikoma strongSwan arba libreswan rinkiniui su DH2 palaikymu. Patikrinkite versiją prieš darydami išvadą, kad klientas sugedęs.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Šauktukas pabaigoje užfiksuoja vieną pasiūlymą. Naudokite jį testui išskirti, o tada pašalinkite, kad tinklų sietuvas vėliau galėtų derėtis dėl kažko stipresnio.

Patikrinkite demoną ir prievadą prieš bandydami dar kartą

NetworkManager-l2tp paleidžia savo xl2tpd egzempliorių. Jei sistemos tarnyba jau užima UDP 1701, klientas persijungia į laikiną šaltinio prievadą, ką leidžia RFC 3193 ir ką kai kurie serveriai tyliai atmeta. Patikrinkite lizdo savininką prieš kitą bandymą.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Pasenusios sugeneruotos paslaptys yra dar viena tyli priežastis. Failai, esantys čia: /etc/ipsec.d/ senam ryšiui pavadinti failai gali pergyventi juos sukūrusį profilį, todėl pašalinkite tuos, į kuriuos niekas nenurodo, ir bandykite dar kartą.

Galiausiai patikrinkite, iš kur kilo patarimas. ipsec.conf IKEv1 XAuth parašytas failas aprašo kitą VPN tipą, ir jo pasiūlymas nėra vienintelė eilutė, kuri bus neteisinga L2TP profilyje. Užrašykite įvestą transformacijų rinkinį šalia profilio, kad kitas žmogus nekartotų patikros.

Susiję straipsniai