Ubuntu അപ്ഗ്രേഡ് L2TP/IPsec തകർത്തോ? IKEv1 നിർദ്ദേശങ്ങൾ താരതമ്യം ചെയ്യുക

ബന്ധം വ്യാഴാഴ്ച പ്രവർത്തിച്ചിരുന്നു, അപ്ഗ്രേഡ് വെള്ളിയാഴ്ച നടന്നു, തിങ്കളാഴ്ച ക്ലയന്റ് “connecting” ൽ കറങ്ങി കൈവിടുന്നു. അതേ ലാപ്ടോപ്പ്, അതേ സർവർ, അതേ അക്കൗണ്ട്, അതേ മുൻകൂട്ടി പങ്കിട്ട കീ. പ്രൊഫൈലിൽ ഒന്നും തിരുത്തിയിട്ടില്ല, അതുകൊണ്ടാണ് വ്യക്തമായ സംശയിതാക്കളായ പാസ്വേഡും ഫയർവാളും നിങ്ങളുടെ സമയം പാഴാക്കുന്നത്.

മാറിയത് നിങ്ങളുടെ മെഷീൻ വാഗ്ദാനം ചെയ്യാൻ തയ്യാറുള്ള രൂപാന്തരങ്ങളുടെ പട്ടികയാണ്. Ubuntu-യിൽ ഉപയോഗിക്കുന്ന രണ്ട് IPsec സ്റ്റാക്കുകളും, strongSwan-ഉം Libreswan-ഉം, ഇനി സുരക്ഷിതമല്ലെന്ന് കരുതുന്ന അൽഗോരിതങ്ങൾ ഒഴിവാക്കുന്നു, അവയുടെ മുന്നിലുള്ള NetworkManager പ്ലഗിന് സ്വന്തം പട്ടികയുണ്ട്, അത് മറ്റൊരു സമയക്രമത്തിൽ നീങ്ങുന്നു. 3DES, SHA1, 1024 ബിറ്റ് Diffie-Hellman ഗ്രൂപ്പിലേക്ക് പിൻ ചെയ്ത ഒരു സർവറിന് അവസാനം താൻ സ്വീകരിക്കുന്ന ഒന്നും കേൾക്കാതെ വരാം.

അപ്ഗ്രേഡ് യഥാർത്ഥത്തിൽ എന്താണ് മാറ്റിയത്

IKEv1 നിർദ്ദേശത്തെ രണ്ട് പാളികൾ പോഷിപ്പിക്കുന്നു. ഡീമോൺ കമ്പൈൽ ചെയ്ത സ്ഥിരസ്ഥിതി നിർദ്ദേശ കൂട്ടം നൽകുന്നു, L2TP പ്ലഗിൻ ഒന്നുകിൽ അതിനെ ആശ്രയിക്കുന്നു അല്ലെങ്കിൽ സ്വന്തം പട്ടിക നൽകുന്നു. NetworkManager-l2tp 1.2.16-ന് മുൻപ് പ്ലഗിൻ അതിനെ ആശ്രയിച്ചിരുന്നു, അതിനാൽ നിങ്ങളുടെ നിർദ്ദേശം ഇൻസ്റ്റാൾ ചെയ്ത ഡീമോൺ ന്യായയുക്തമെന്ന് കരുതിയതായിരുന്നു. 1.2.16 മുതൽ പ്ലഗിൻ Windows, Apple ക്ലയന്റുകളെ മാതൃകയാക്കി തയ്യാറാക്കിയ ഒരു രേഖപ്പെടുത്തിയ പട്ടിക അയയ്ക്കുന്നു, ആ പട്ടിക പഴയ സ്ഥിരസ്ഥിതിയേക്കാൾ വിശാലമാണ്, എന്നാൽ ക്യൂവിന്റെ മുൻപിൽ ഉണ്ടായിരുന്ന എല്ലാ പഴയ സംയോജനങ്ങളും ഇനി ഉൾക്കൊള്ളുന്നില്ല.

ആ വേർതിരിവ് ആളുകൾക്ക് ആശയക്കുഴപ്പമുണ്ടാക്കുന്ന ഒരു പരാജയരീതി വിശദീകരിക്കുന്നു: ഒരേ Ubuntu റിലീസിലുള്ള രണ്ട് മെഷീനുകൾ വ്യത്യസ്തമായി പെരുമാറാം, കാരണം ഒന്നിൽ ഡിസ്ട്രിബ്യൂഷൻ പാക്കേജുണ്ട്, മറ്റൊന്നിൽ backport ഉണ്ട്, ബഗ് റിപ്പോർട്ടിൽ രണ്ടിലും ഡീമോൺ പതിപ്പ് ഒരേപോലെ കാണുന്നു. അപ്ഗ്രേഡ് പ്രസക്തമായ ഒന്നും മാറ്റിയിട്ടില്ലെന്ന് തീരുമാനിക്കുന്നതിന് മുൻപ് പ്ലഗിൻ പതിപ്പ് പരിശോധിക്കുക, ഡീമോൺ പതിപ്പ് മാത്രമല്ല.

അതേ മേഖലയിൽ ഒരു ചെറിയ കെണിയുണ്ട്. രണ്ട് ഡീമോണുകളും ദീർഘവൃത്ത വക്ര Diffie-Hellman ഗ്രൂപ്പുകൾ വ്യത്യസ്തമായി എഴുതുന്നു, ഒന്ന് ecp384 എന്നും മറ്റൊന്ന് ecp_384 എന്നും എഴുതുന്നു. തെറ്റായ അക്ഷരവിന്യാസം Advanced ഡയലോഗിൽ ഒട്ടിക്കുക, ഡീമോൺ ആ ക്രമീകരണം വിശകലനം ചെയ്യാനാകാത്തതെന്ന് തള്ളിക്കളയും, അത് ലോഗിൽ കോൺഫിഗറേഷൻ ടൈപ്പിംഗ് പിശകിന് പകരം ചർച്ചാ പ്രശ്നമായി കാണപ്പെടുന്നു.

എന്തെങ്കിലും മാറ്റുന്നതിന് മുൻപ് പരാജയം വായിക്കുക

ഏത് ബാക്കെൻഡാണ് നിങ്ങൾ പ്രവർത്തിപ്പിക്കുന്നത് എന്നതിൽ നിന്ന് തുടങ്ങുക, കാരണം ഉത്തരം വാക്യഘടനയും ലോഗിന്റെ സ്ഥാനവും തീരുമാനിക്കുന്നു.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

തുടർന്ന് കൈമാറ്റം തന്നെ വായിക്കുക. strongSwan-ൽ ഡീമോൺ നിലവിലെ റിലീസിൽ journal-ലേക്കും പഴയതിൽ /var/log/syslog-ലേക്കും എഴുതുന്നു, താൽപ്പര്യമുള്ള ഭാഗം അത് അയയ്ക്കുന്ന നിർദ്ദേശമാണ്, അവസാന വരിയല്ല. പൊരുത്തപ്പെടുന്ന നിർദ്ദേശമില്ല എന്ന പ്രയോഗം നിങ്ങൾ തിരയുന്നു, അത് അൽഗോരിതം പ്രശ്നമാണ്; പ്രാമാണീകരണ പരാജയം, അത് കീയിലേക്കോ അക്കൗണ്ടിലേക്കോ വിരൽ ചൂണ്ടുന്നു; അല്ലെങ്കിൽ ലളിതമായ ടൈംഔട്ട്, അത് ലഭ്യതയിലേക്ക് വിരൽ ചൂണ്ടുന്നു.

ഈ മൂന്ന് ഫലങ്ങളെ വളരെ പലപ്പോഴും ഒരൊറ്റ ലക്ഷണമായി കണക്കാക്കുന്നു. ശൂന്യമായ ഡീമോൺ ലോഗോടുകൂടിയ ടൈംഔട്ട് പാക്കറ്റുകൾ എത്തുന്നില്ല എന്നാണ് അർത്ഥമാക്കുന്നത്. നിർദ്ദേശം നിരസിക്കപ്പെട്ടു എന്നത് അവ എത്തി നിരസിക്കപ്പെട്ടു എന്നാണ് അർത്ഥമാക്കുന്നത്. നിങ്ങളുടെ ലോഗ് നിശബ്ദമാണെങ്കിൽ ഒരു ശ്രമത്തിന് പ്ലഗിന്റെ ഡീബഗ് നില ഉയർത്തി പിന്നീട് താഴ്ത്തുക, കാരണം വിശദമായ ഔട്ട്പുട്ട് journal വേഗത്തിൽ നിറയ്ക്കുന്നു.

ഫേസ് 1-ഉം ഫേസ് 2-ഉം വെവ്വേറെ പന്തയങ്ങളാണ്

IKEv1 രണ്ട് തവണ ചർച്ച ചെയ്യുന്നു. പ്രധാന മോഡ് എൻക്രിപ്ഷൻ അൽഗോരിതം, സമഗ്രത അൽഗോരിതം, Diffie-Hellman ഗ്രൂപ്പ്, പ്രാമാണീകരണ രീതി എന്നിവയിൽ നിന്ന് IKE സുരക്ഷാ അസോസിയേഷൻ നിർമ്മിക്കുന്നു. പിന്നീട് വേഗ മോഡ് L2TP വഹിക്കുന്ന ESP അസോസിയേഷൻ നിർമ്മിക്കുന്നു. സർവറിന് ആദ്യത്തേത് സ്വീകരിക്കാനും രണ്ടാമത്തേത് നിരസിക്കാനും സ്വാതന്ത്ര്യമുണ്ട്, അതിനാൽ പകുതി ശരിയായ പ്രൊഫൈൽ നിങ്ങൾ പ്രതീക്ഷിക്കുന്നതിനേക്കാൾ വൈകി പരാജയപ്പെടുന്നു, മറ്റൊരു ബഗ് പോലെ തോന്നുന്നു.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

ആശ്ചര്യചിഹ്നം strongSwan വാക്യഘടനയിൽ കർശനമായ എൻട്രി സൂചിപ്പിക്കുന്നു: ഈ ഒരു സംയോജനം മാത്രം വാഗ്ദാനം ചെയ്യുക, മറ്റൊന്നുമില്ല. അതില്ലാതെ എൻട്രി ഒരു ഫോൾബാക്ക് പട്ടികയിൽ ചേരുന്നു, എതിർപക്ഷം ആധുനികമാണെങ്കിൽ അത് നല്ലതാണ്, ഒറ്റ കഠിനമായി കോഡ് ചെയ്ത നയമുള്ള ഉപകരണമാണെങ്കിൽ പ്രതിഫലം നൽകുന്നു. മുകളിലുള്ള ജോടിയെ രൂപത്തിന്റെ ഉദാഹരണമായി കാണുക, ഇന്ന് നിങ്ങൾ നിർമ്മിക്കുന്ന ഏതിനും ശുപാർശയായല്ല.

ഒരു ഫീൽഡ് മാറ്റുക, പിന്നീട് പരീക്ഷണം ആവർത്തിക്കുക

നിലവിലെ പ്ലഗിനിൽ ഏറ്റവും വേഗതയുള്ള ആദ്യ പരീക്ഷണം രണ്ട് നിർദ്ദേശ ഫീൽഡുകളും പൂർണ്ണമായി ശൂന്യമാക്കി വീണ്ടും ബന്ധിപ്പിക്കുകയാണ്, കാരണം നൽകിയ സ്ഥിരസ്ഥിതി പട്ടികയിൽ സാധാരണ Windows, Apple സംയോജനങ്ങൾ ഇതിനകം ഉണ്ട്. പഴയ പ്ലഗിനിൽ അവ ശൂന്യമാക്കുന്നത് നിയന്ത്രണം നിങ്ങളുടെ സർവർ നിർബന്ധിക്കുന്ന അൽഗോരിതം ഒഴിവാക്കിയിരിക്കാവുന്ന ഡീമോണിലേക്ക് തിരികെ നൽകുന്നു, പരാജയം കൂടുതൽ വഷളാകുന്നു.

ശൂന്യമാക്കുന്നത് സഹായിക്കുന്നില്ലെങ്കിൽ നിങ്ങളുടെ സർവർ രേഖപ്പെടുത്തുന്ന കർശന ജോടി ഒരു ഫേസ് വീതം സജ്ജമാക്കുക. ഫേസ് 1 മാറ്റുക, വീണ്ടും ബന്ധിപ്പിക്കുക, ഫേസ് 2 തൊടുന്നതിന് മുൻപ് ലോഗ് വായിക്കുക. സംയോജനം ഒടുവിൽ പ്രവർത്തിക്കുമ്പോൾ അത് സർവർ മോഡലിന്റെയും പ്ലഗിൻ പതിപ്പിന്റെയും അടുത്ത് എഴുതിവയ്ക്കുക, കാരണം സ്ഥിരസ്ഥിതികൾ വീണ്ടും മാറും, ആ കുറിപ്പാണ് അടുത്ത അപ്ഗ്രേഡിനെ അഞ്ച് മിനിറ്റ് പരിശോധനയാക്കി മാറ്റുന്നത്.