L2TP: nāvējošs signāls 15, NO_PROPOSAL_CHOSEN un trūkstošais modp1024

Savienojums iesprūst, klients iziet, un pēdējā rinda ekrānā ir death_handler: Fatal signal 15 received. Šī rinda ziņo par pārtraukumu, nevis par cēloni. Vienu rindu augstāk IPsec žurnālā gandrīz vienmēr ir NO_PROPOSAL_CHOSEN, un pāris norāda uz apmaiņas 2. fāzi, kur abas puses salīdzina šifrēšanas un jaucējfunkcijas izvēles un apstājas, ja tām nav nekā kopīga. Šajā posmā pieteikšanās dati vēl nav nosūtīti, tāpēc atkārtota paroles ievade rezultātu nemainīs.

Linux klientā šo krustpunktu parasti iztukšo divas lietas. Vietējais dēmons var vairs neīstenot profilā pieprasīto Diffie-Hellman grupu, vai profils var saturēt 1. fāzes priekšlikumu 2. fāzes laukā. Abi atstāj pēdas žurnālā, un neviens nav konta problēma.

Ko abi ziņojumi patiešām saka

IKE pārrunā pa piegājieniem. 1. fāze izveido aizsargātu kanālu un izvēlas savus algoritmus; 2. fāze, atvasinātais SA, pārvadā datplūsmu ar atsevišķu kopu. NO_PROPOSAL_CHOSEN ir paziņojums, ko atbildētājs atgriež, ja neviens no piedāvātajiem salikumiem nav pieņemams, un tas parādās kā [ HASH N(NO_PROP) ] INFORMATIONAL apmaiņas ietvaros.

Signāls 15 ir cits notikums: kaut kas lika vietējam procesam apstāties, un apstrādātājs to reģistrēja. Kad abas rindas parādās kopā, secība ir cēloņsakarīga: vispirms noraidījums, pēc tam izslēgšana.

Izlasiet pārrunas pirms pieteikšanās datu aiztikšanas

Paaugstiniet žurnāla līmeni tur, kur raksta dēmons, pēc tam pievienojieties vēlreiz, vērojot izvadi. NetworkManager resursdatorā L2TP spraudnis nodod šo līmeni aizmugurei, un ziņojumi nonāk žurnālā vai klasiskajā syslog failā atkarībā no distribūcijas. Jebkurš no tiem parādīs apmaiņu: journalctl -f -u NetworkManager | grep -Ei 'pluto|charon|no_prop|proposal' vai tail -f /var/log/syslog | grep -Ei 'pluto|charon|ike'.

Rinda, kas nosauc pluto, nāk no libreswan, charon no strongSwan, un abas apraksta to pašu stāvokli ar dažādiem vārdiem. Forma, kuru ir vērts meklēt, ir tā, kas nosauc trūkstošo grupu, piemēram, algorithm 'modp1024' is not supported, jo tā pārvērš neskaidru kļūdu konkrētā.

Kur pazuda modp1024

Diffie-Hellman 2. grupa ir pietiekami vāja, lai vairākas distribūcijas pārtrauktu to kompilēt libreswan no 3.30. Tad pirms gadiem rakstīts profils vai no vārtejas rokasgrāmatas pārņemts, kurā uzskaitīts tikai aes128-sha1-modp1024, pieprasa vietējam dēmonam kaut ko, ko tas nemaz nespēj izpildīt. Jaunākas NetworkManager-l2tp būves padara šo iznākumu ticamāku: no 1.2.16 tās aizstāj kopu ar Windows 10 un iOS stila priekšlikumiem un atmet modp1024, tiklīdz tiek noteikts libreswan. Pretējā puse bieži ir nevainīga un joprojām piedāvā tieši to grupu, kuru jūs konfigurējāt.

Tieši šī asimetrija liek kļūmei šķist nejaušai. Vecāks klients piesakās, tas pats profils atjauninātā klēpjdatorā ne, un servera konfigurācija nekad nav kustējusies. Postījumus nodara versiju novirze.

Divi labojumi ar atšķirīgu ietekmi

Lētais labojums ir pārtraukt algoritmu iekodēšanu ar roku. Iztīriet abus priekšlikumu laukus redaktorā un ļaujiet spraudnim izvēlēties kopu, ko pieņem tālā puse; ja vārteja atbalsta mūsdienu grupas, pārrunas beidzas bez papildu darba.

Otrais labojums uztur veco vārteju sasniedzamu, instalējot strongSwan, kura pakotnes lielākajā daļā distribūciju joprojām īsteno 2. grupu. Tā ir dēmona nomaiņa, tāpēc tai ir cena: pārbaudiet, vai citi tuneļi resursdatorā ir atkarīgi no libreswan konfigurācijas, pirms to noņemt, un Fedora gadījumā gaidiet SELinux atteikumus starp NetworkManager un strongSwan spraudni. Šie atteikumi parādās audita žurnālā, nevis IKE trasē, tāpēc tunelis var izskatīties salauzts tūlīt pēc veiksmīgas instalācijas. Secība, kas darbojas, ir vispirms dnf install strongswan, pēc tam rpm -e libreswan.

Sakrītošas priekšlikumu virknes un slazdi ap tām

Kad lauki jāaizpilda ar roku, 1. fāze un 2. fāze iegūst atšķirīgas vērtības. Pāris, kas zināms kā strādājošs pret Meraki stila pretējo pusi, 1. fāzē piedāvā aes128-sha1-modp1024, aiz tā 3des-sha1-modp1024, abi noslēgti ar izsaukuma zīmi, kas kopu padara stingru, tāpēc tiek sūtīti tikai šie priekšlikumi.

Pēc tam 2. fāze sašaurinās līdz aes128-sha1 un 3des-sha1 ar to pašu stingro marķieri un bez nekāda Diffie-Hellman piedēkļa. 2. fāzes rinda ar -modp1024 ir 1. fāzes vērtība nepareizajā laukā, un atbildētājs to noraida katrā mēģinājumā. Nokopējiet šo rindu otrajā profilā, un otrais profils neizdodas tāpat, un tā viena drukas kļūda kļūst par incidentu visā flotē.

Citas kļūmes valkā to pašu uznirstošo logu, nebūdamas priekšlikumu nesakritības. KDE L2TP tips var būt uzskaitīts ar instalētu spraudni, kamēr katrs savienojums uzreiz mirst, jo savienojumu redaktors un izpildlaika palīgi tiek piegādāti kā atsevišķas pakotnes. Resursdatori bez ekrāna var atkārtoti izmantot profilu no strādājošas darbvirsmas: nokopējiet to no /etc/NetworkManager/system-connections/, iestatiet režīmu uz 600 un pēc tam palaidiet nmcli con reload. Paceliet to ar nmcli con up id work-l2tp, jo kailā forma prasa UUID, un noņemiet jebkuru novecojušu ifname ierakstu, citādi pārvaldnieks atbild Could not find source connection, kamēr viss pārējais ir pareizi.

Iepriekš kopīgu atslēgu var glabāt kā atklātu tekstu vai kā 0s un pēc tam base64; abas formas darbojas, bet vērtībai jāsakrīt ar vārteju baitu pa baitam, ieskaitot beigu atstarpes, kuras jūs nokopējāt kopā ar to.