NO_PROPOSAL_CHOSEN L2TP? Vispirms skenējiet vārteju

L2TP/IPsec klients, kas neizdodas pirms lietotājvārda uzvednes, nekad nav vienojies par 1. fāzi. Skenējiet vārtejas piedāvājumu kopu, nevis ielīmējiet šifrēšanas virknes.

Lietotājvārda uzvedne nekad neparādās, un klients ziņo NO_PROPOSAL_CHOSEN. Tajā brīdī akreditācijas dati un iepriekš koplietotā atslēga nav svarīgi, jo abas puses nav vienojušās, kā aizsargāt 1. fāzi. Lielākā daļa cilvēku reaģē, ielīmējot tiešsaistē atrastu šifrēšanas virkni. Vārtejas skenēšana atbild uz to pašu jautājumu ar pierādījumiem un aizņem apmēram tikpat daudz laika.

Ko ziņojums izslēdz

Noraidījums notiek galvenajā režīmā, pirms jebkuras L2TP vai PPP apmaiņas, tāpēc ne tunelis, ne lietotāju datubāze netika vaicāta. 1. fāze pārrunā šifrēšanu, integritāti un Diffie-Hellman grupu. 2. fāze pārrunā ESP piedāvājumu datiem. 1. fāzes kļūdu nevar izlabot, mainot 2. fāzes PFS iestatījumu, un pabeigta IKE asociācija nepierāda, ka ESP piedāvājums atbilst.

Pirms sintakses rediģēšanas pierakstiet backend: ipsec --version. libreswan un strongSwan pieņem atšķirīgus piedāvājuma rakstības variantus vieniem un tiem pašiem algoritmiem.

Pēc tam izlasiet noraidījumu kontekstā ar journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Skenējiet vārteju, lai noskaidrotu tās transformāciju kopu

Skenētājs tieši jautā vārtejai, par kurām transformācijām tā vienosies. Vispirms apturiet vietējo IPsec pakalpojumu, lai pārbaude nekonkurētu ar jūsu paša klientu, pēc tam izlasiet SA rindas. Uztveriet sarakstu kā pierādījumu par otru pusi, nevis kā izvēlni, kas jāieslēdz pilnībā.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Vecākas ierīces bieži piedāvā 3DES, SHA1 un MODP1024, jo tie bija noklusējuma iestatījumi produkta piegādes laikā un neviens tos nepārskatīja. Saglabājiet skenēšanas neapstrādāto izvadi, jo tā ir vienīgais ieraksts par to, ko otra puse piedāvāja tajā dienā. Ja tas ir spēcīgākais pieejamais pārklājums, pareizā eskalācija ir pie vārtejas īpašnieka, nevis pie klienta konfigurācijas, kas visiem atkal ieslēdz vāju kriptogrāfiju.

Saskaņojiet pārklājumu, neizslēdzot drošību

Ievadiet tikai tās transformācijas, kas parādās gan skenējumā, gan jūsu politikā. Tālāk esošais piemērs atspoguļo vārteju, kas 1. fāzē piedāvā 3DES, SHA1 un MODP1024. Ņemiet vērā backend atrunu: libreswan 4.x nekompilē modp1024 grupu, tāpēc tas attiecas uz strongSwan vai libreswan būvējumu ar DH2 atbalstu. Pārbaudiet versiju, pirms secināt, ka klients ir bojāts.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Izsaukuma zīme beigās piefiksē vienu piedāvājumu. Izmantojiet to testa izolēšanai un pēc tam noņemiet, lai vārteja vēlāk varētu vienoties par kaut ko stiprāku.

Pārbaudiet dēmonu un portu pirms atkārtota mēģinājuma

NetworkManager-l2tp palaiž savu xl2tpd instanci. Ja sistēmas pakalpojums jau aizņem UDP 1701, klients pāriet uz īslaicīgu avota portu, ko atļauj RFC 3193 un ko daži serveri klusi izmet. Pirms nākamā mēģinājuma pārbaudiet ligzdas īpašnieku.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Novecojuši ģenerēti noslēpumi ir vēl viens kluss iemesls. Faili šeit: /etc/ipsec.d/ vecam savienojumam nosaukti faili var pārdzīvot to izveidojušo profilu, tāpēc izdzēsiet tos, uz kuriem nekas neatsaucas, un mēģiniet vēlreiz.

Visbeidzot, pārbaudiet, no kurienes nāca padoms. ipsec.conf IKEv1 XAuth rakstīts fails apraksta citu VPN veidu, un tā piedāvājums nav vienīgā rinda, kas L2TP profilā būs nepareiza. Pierakstiet ievadīto transformāciju kopu blakus profilam, lai nākamais cilvēks neatkārtotu pārbaudi.

Saistītie raksti