L2TP-ൽ NO_PROPOSAL_CHOSEN? ആദ്യം ഗേറ്റ്വേ സ്കാൻ ചെയ്യുക

ഉപയോക്തൃനാമ പ്രോംപ്റ്റ് ഒരിക്കലും പ്രത്യക്ഷപ്പെടുന്നില്ല, ക്ലയന്റ് NO_PROPOSAL_CHOSEN റിപ്പോർട്ട് ചെയ്യുന്നു. ആ നിമിഷത്തിൽ ക്രെഡൻഷ്യലുകളും മുൻകൂട്ടി പങ്കിട്ട കീയും അപ്രസക്തമാണ്, കാരണം ഇരു അറ്റങ്ങളും ഫേസ് 1 എങ്ങനെ സംരക്ഷിക്കണമെന്ന് ഒത്തുതീർപ്പായിട്ടില്ല. മിക്ക ആളുകളും ഓൺലൈനിൽ കണ്ട സൈഫർ സ്ട്രിംഗ് ഒട്ടിച്ചാണ് പ്രതികരിക്കുന്നത്. ഗേറ്റ്വേ സ്കാൻ ചെയ്യുന്നത് അതേ ചോദ്യത്തിന് തെളിവുകളോടെ ഉത്തരം നൽകുന്നു, ഏകദേശം അത്രയും സമയമെടുക്കുന്നു.

സന്ദേശം എന്താണ് ഒഴിവാക്കുന്നത്

നിരസിക്കൽ പ്രധാന മോഡിൽ, ഏതെങ്കിലും L2TP അല്ലെങ്കിൽ PPP കൈമാറ്റത്തിന് മുമ്പ് സംഭവിക്കുന്നു, അതിനാൽ ടണലും ഉപയോക്തൃ ഡാറ്റാബേസും ചോദിച്ചിട്ടില്ല. ഫേസ് 1 എൻക്രിപ്ഷൻ, സമഗ്രത, Diffie-Hellman ഗ്രൂപ്പ് എന്നിവ ചർച്ച ചെയ്യുന്നു. ഫേസ് 2 ഡാറ്റയ്ക്കുള്ള ESP നിർദ്ദേശം ചർച്ച ചെയ്യുന്നു. ഫേസ് 1-ലെ പരാജയം ഫേസ് 2-ലെ PFS ക്രമീകരണം മാറ്റി പരിഹരിക്കാനാവില്ല, കൂടാതെ പൂർത്തിയായ IKE അസോസിയേഷൻ ESP നിർദ്ദേശം യോജിക്കുന്നു എന്ന് തെളിയിക്കുന്നില്ല.

സിന്റാക്സ് എഡിറ്റ് ചെയ്യുന്നതിന് മുമ്പ് ബാക്ക്എൻഡ് രേഖപ്പെടുത്തുക: ipsec --version. libreswan-ഉം strongSwan-ഉം ഒരേ അൽഗോരിതങ്ങൾക്ക് നിർദ്ദേശത്തിന്റെ വ്യത്യസ്ത അക്ഷരവിന്യാസങ്ങൾ സ്വീകരിക്കുന്നു.

തുടർന്ന് നിരസിക്കൽ സന്ദർഭത്തോടൊപ്പം ഇതുപയോഗിച്ച് വായിക്കുക: journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

ഗേറ്റ്വേയുടെ ട്രാൻസ്ഫോം സെറ്റ് സ്കാൻ ചെയ്യുക

സ്കാനർ ഗേറ്റ്വേയോട് ഏത് ട്രാൻസ്ഫോമുകളിൽ ചർച്ച ചെയ്യുമെന്ന് നേരിട്ട് ചോദിക്കുന്നു. ആദ്യം പ്രാദേശിക IPsec സേവനം നിർത്തുക, പരിശോധന നിങ്ങളുടെ സ്വന്തം ക്ലയന്റുമായി മത്സരിക്കാതിരിക്കാൻ, തുടർന്ന് SA വരികൾ വായിക്കുക. പട്ടികയെ മറുവശത്തെക്കുറിച്ചുള്ള തെളിവായി കാണുക, എല്ലാം ഒരുമിച്ച് സജീവമാക്കാനുള്ള മെനുവായി അല്ല.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

പഴയ ഉപകരണങ്ങൾ പലപ്പോഴും 3DES, SHA1, MODP1024 എന്നിവ വാഗ്ദാനം ചെയ്യുന്നു, കാരണം ഉൽപ്പന്നം അയച്ച സമയത്ത് അവയായിരുന്നു സ്ഥിരസ്ഥിതികൾ, ആരും അവ വീണ്ടും പരിശോധിച്ചിട്ടില്ല. സ്കാന്റെ അസംസ്കൃത ഔട്ട്പുട്ട് സൂക്ഷിക്കുക, ആ ദിവസം മറുവശം എന്താണ് വാഗ്ദാനം ചെയ്തതെന്നതിന്റെ ഏക രേഖ അതാണ്. അതാണ് ലഭ്യമായ ഏറ്റവും ശക്തമായ ഓവർലാപ്പ് എങ്കിൽ, ശരിയായ എസ്കലേഷൻ ഗേറ്റ്വേ ഉടമയിലേക്കാണ്, എല്ലാവർക്കും ദുർബലമായ ക്രിപ്റ്റോഗ്രഫി വീണ്ടും സജീവമാക്കുന്ന ക്ലയന്റ് കോൺഫിഗറേഷനിലേക്കല്ല.

സുരക്ഷ ഓഫാക്കാതെ ഓവർലാപ്പ് ഒത്തുചേർക്കുക

സ്കാനിലും നിങ്ങളുടെ നയത്തിലും ഒരുപോലെ കാണുന്ന ട്രാൻസ്ഫോമുകൾ മാത്രം നൽകുക. താഴെയുള്ള ഉദാഹരണം ഫേസ് 1-ൽ 3DES, SHA1, MODP1024 വാഗ്ദാനം ചെയ്യുന്ന ഗേറ്റ്വേയെ പ്രതിഫലിപ്പിക്കുന്നു. ബാക്ക്എൻഡിനെക്കുറിച്ചുള്ള മുന്നറിയിപ്പ് ശ്രദ്ധിക്കുക: libreswan 4.x modp1024 ഗ്രൂപ്പ് കംപൈൽ ചെയ്യുന്നില്ല, അതിനാൽ ഇത് strongSwan അല്ലെങ്കിൽ DH2 പിന്തുണയുള്ള libreswan ബിൽഡിന് ബാധകമാണ്. ക്ലയന്റ് കേടാണെന്ന് തീരുമാനിക്കുന്നതിന് മുമ്പ് പതിപ്പ് പരിശോധിക്കുക.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

അവസാനത്തെ ആശ്ചര്യചിഹ്നം ഒരൊറ്റ നിർദ്ദേശം പിൻ ചെയ്യുന്നു. പരിശോധന വേർതിരിക്കാൻ അതുപയോഗിക്കുക, പിന്നീട് നീക്കം ചെയ്യുക, ഗേറ്റ്വേയ്ക്ക് പിന്നീട് കരുത്തുള്ള എന്തെങ്കിലും ചർച്ച ചെയ്യാനാകും.

വീണ്ടും ശ്രമിക്കുന്നതിന് മുമ്പ് ഡീമണും പോർട്ടും പരിശോധിക്കുക

NetworkManager-l2tp സ്വന്തം xl2tpd ഇൻസ്റ്റൻസ് ആരംഭിക്കുന്നു. സിസ്റ്റം സേവനം ഇതിനകം UDP 1701 കൈവശം വച്ചിട്ടുണ്ടെങ്കിൽ, ക്ലയന്റ് താൽക്കാലിക സ്രോതസ്സ് പോർട്ടിലേക്ക് പിൻവാങ്ങുന്നു, RFC 3193 ഇത് അനുവദിക്കുന്നു, ചില സെർവറുകൾ അത് നിശ്ശബ്ദമായി ഉപേക്ഷിക്കുന്നു. അടുത്ത ശ്രമത്തിന് മുമ്പ് സോക്കറ്റിന്റെ ഉടമ പരിശോധിക്കുക.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

പഴയതായ ജനറേറ്റ് ചെയ്ത രഹസ്യങ്ങൾ മറ്റൊരു നിശ്ശബ്ദ കാരണമാണ്. ഇവിടെയുള്ള ഫയലുകൾ /etc/ipsec.d/ പഴയ കണക്ഷന് പേരിട്ട ഫയലുകൾ അവ സൃഷ്ടിച്ച പ്രൊഫൈലിനെക്കാൾ കൂടുതൽ കാലം നിലനിൽക്കാം, അതിനാൽ ഒന്നും റഫർ ചെയ്യാത്തവ നീക്കം ചെയ്ത് വീണ്ടും ശ്രമിക്കുക.

അവസാനം, ഉപദേശം എവിടെ നിന്ന് വന്നു എന്ന് പരിശോധിക്കുക. ipsec.conf IKEv1 XAuth-നായി എഴുതിയ ഫയൽ മറ്റൊരു തരം VPN വിവരിക്കുന്നു, L2TP പ്രൊഫൈലിൽ അതിന്റെ നിർദ്ദേശം മാത്രമല്ല തെറ്റായ വരി. നിങ്ങൾ നൽകിയ ട്രാൻസ്ഫോം സെറ്റ് പ്രൊഫൈലിന് അരികിൽ രേഖപ്പെടുത്തുക, അടുത്ത വ്യക്തി പരിശോധന ആവർത്തിക്കാതിരിക്കാൻ.