Дали надградбата на Ubuntu го расипа L2TP/IPsec? Споредете ги предлозите на IKEv1

Врската работеше во четврток, надградбата се изврши во петок, а во понеделник клиентот се врти на “connecting” и се откажува. Истиот лаптоп, истиот сервер, истата сметка, истиот однапред споделен клуч. Ништо во профилот не е уредено, затоа очигледните осомничени, лозинката и ѕидот, го трошат вашето време.

Она што се смени е списокот на трансформации што вашата машина е подготвена да ги понуди. Двата IPsec стека што се користат на Ubuntu, strongSwan и Libreswan, ги отстрануваат алгоритмите што веќе не ги сметаат за безбедни, а приклучокот на NetworkManager пред нив има свој список што се движи по друг распоред. Сервер прикован на 3DES, SHA1 и Diffie-Hellman група од 1024 бита може на крајот да не чуе ништо од она што го прифаќа.

Што всушност смени надградбата

Предлогот на IKEv1 го хранат два слоја. Демонот доставува вграден стандарден сет на предлози, а приклучокот L2TP или се потпира на него или дава свој список. Пред NetworkManager-l2tp 1.2.16 приклучокот се потпираше на него, па вашиот предлог беше она што инсталираниот демон го сметаше за разумно. Од 1.2.16 натаму приклучокот праќа документиран список моделиран по клиентите на Windows и Apple, и тој список е поширок од стариот стандард, но веќе не ја содржи секоја стара комбинација на чело од редот.

Оваа поделба објаснува начин на откажување што луѓето го наоѓаат збунувачки: две машини на истото издание на Ubuntu можат да се однесуваат различно затоа што едната го има пакетот од дистрибуцијата, а другата има backport, и верзијата на демонот на двете изгледа исто во извештајот за грешка. Проверете ја верзијата на приклучокот, не само верзијата на демонот, пред да заклучите дека надградбата не сменила ништо релевантно.

Во истото подрачје има помала стапица. Двата демони ги пишуваат групите Diffie-Hellman со елиптична крива различно, едниот пишува ecp384, а другиот ecp_384. Залепете го погрешното пишување во дијалогот Advanced и демонот ќе го одбие поставувањето како неразбирливо, што во дневникот се појавува како проблем со преговорите, а не како печатна грешка во конфигурацијата.

Прочитајте го откажувањето пред да смените било што

Почнете со тоа кој backend го извршувате, зашто одговорот одлучува и за синтаксата и за местоположбата на дневникот.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

Потоа прочитајте ја самата размена. На strongSwan демонот пишува во journal на тековното издание и во /var/log/syslog на постаро, и интересниот дел е предлогот што го праќа, не последната линија. Барате формулација за тоа дека нема соодветен предлог, што е проблем со алгоритам; неуспех при автентикација, што упатува на клучот или сметката; или обичен timeout, што упатува на достапноста.

Овие три исходи премногу често се третираат како еден симптом. Timeout со празен дневник на демонот значи дека пакетите не пристигнуваат. Одбивањето на предлогот значи дека пристигнале и биле одбиени. Ако вашиот дневник е тивок, зголемете го нивото за отстранување грешки на приклучокот за еден обид и потоа намалете го, зашто подробниот излез брзо го полни journal.

Фаза 1 и фаза 2 се одделни облози

IKEv1 преговара двапати. Главниот режим ја гради IKE безбедносната асоцијација од алгоритам за шифрирање, алгоритам за интегритет, Diffie-Hellman група и метод за автентикација. Брзиот режим потоа ја гради ESP асоцијацијата што ќе го носи L2TP. Серверот е слободен да го прифати првото и да го одбие второто, па полуточен профил откажува подоцна отколку што очекувате и изгледа како друга грешка.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

Извичникот е синтакса на strongSwan за строг запис: понуди ја само оваа една комбинација и ништо друго. Без него записот се придружува на резервен список, што е добро кога партнерот е современ, а контрапродуктивно кога е уред со една тврдо кодирана политика. Сметајте ја горната двојка како илустрација на формата, не како препорака за било што што градите денес.

Сменете едно поле, па повторете го тестот

На тековен приклучок најбрзиот прв тест е целосно да ги исчистите двете полиња за предлог и повторно да се поврзете, зашто доставениот стандарден список веќе ги содржи вообичаените комбинации на Windows и Apple. На постар приклучок нивното чистење враќа контрола на демон што можеби веќе го отфрлил алгоритмот на кој вашиот сервер инсистира, и откажувањето се влошува.

Ако чистењето не помогне, поставете ја строгата двојка што ја документира вашиот сервер, една фаза одеднаш. Сменете ја фазата 1, поврзете се повторно и прочитајте го дневникот пред да ја допрете фазата 2. Кога комбинацијата конечно ќе проработи, запишете ја до моделот на серверот и верзијата на приклучокот, зашто стандардите повторно ќе се поместат и токму таа белешка го претвора следното надградување во петминутна проверка.