L2TP дээр NO_PROPOSAL_CHOSEN? Эхлээд гарцыг скан хийнэ үү

Хэрэглэгчийн нэрийн асуултаас өмнө бүтэлгүйтдэг L2TP/IPsec клиент 1-р үе шатанд хэзээ ч санал нэгдээгүй. Шифрийн мөрүүдийг наалдуулахын оронд гарцын саналын багцыг скан хийнэ үү.

Хэрэглэгчийн нэрийн асуулт хэзээ ч гарч ирэхгүй бөгөөд клиент NO_PROPOSAL_CHOSEN гэж мэдээлнэ. Тэр мөчид нэвтрэх мэдээлэл болон урьдчилан хуваалцсан түлхүүр хамаагүй, учир нь хоёр тал 1-р үе шатыг хэрхэн хамгаалах талаар санал нэгдээгүй. Ихэнх хүмүүс интернэтээс олсон шифрийн мөрийг наалдуулж хариу үйлдэл хийдэг. Гарцыг скан хийх нь тэр асуултад нотолгоотой хариулж, ойролцоогоор ижил хугацаа шаардана.

Энэ мессеж юуг үгүйсгэдэг

Татгалзлыг үндсэн горимд, ямар ч L2TP эсвэл PPP солилцооноос өмнө хийдэг тул туннель болон хэрэглэгчийн сан асуугдаагүй. 1-р үе шат шифрлэлт, бүрэн бүтэн байдал, Diffie-Hellman бүлгийн талаар хэлэлцэнэ. 2-р үе шат өгөгдлийн ESP саналын талаар хэлэлцэнэ. 1-р үе шатын алдааг 2-р үе шатын PFS тохиргоог өөрчлөх замаар засах боломжгүй, мөн дууссан IKE холбоо ESP санал тохирч байгааг батлахгүй.

Синтакс засахын өмнө backend-ийг тэмдэглэнэ үү: ipsec --version. libreswan болон strongSwan ижил алгоритмуудад саналын өөр бичлэгийг хүлээн авдаг.

Дараа нь татгалзлыг контекстээр нь дараах командаар уншина уу: journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Гарцыг түүний хувиргалтын багцаар нь скан хийнэ үү

Сканер гарцаас ямар хувиргалтаар хэлэлцэхийг шууд асууна. Эхлээд локал IPsec үйлчилгээг зогсоож, шалгалт өөрийн клиенттэй өрсөлдөхгүй байлгаарай, дараа нь SA мөрүүдийг уншина уу. Жагсаалтыг нөгөө талын тухай нотолгоо гэж үзээрэй, бүгдийг нэг дор асаах цэс гэж биш.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Хуучин төхөөрөмжүүд 3DES, SHA1, MODP1024-ийг ихэвчлэн санал болгодог, учир нь бүтээгдэхүүн илгээгдэх үеийн анхдагч утгууд байсан бөгөөд хэн ч дахин хянаагүй. Сканы түүхий гаралтыг хадгална уу, учир нь тэр өдөр нөгөө тал юу санал болгосны цорын ганц бүртгэл юм. Хэрэв энэ нь боломжтой хамгийн хүчтэй давхцал бол, зөв эскалаци нь гарцын эзэмшигч рүү, бүгдэд сул криптографийг дахин асаадаг клиентийн тохиргоо руу биш.

Аюулгүй байдлыг унтраалгүйгээр давхцлыг тааруулна уу

Зөвхөн скан болон таны бодлогод хоёуланд нь гарч буй хувиргалтыг оруулна уу. Доорх жишээ 1-р үе шатанд 3DES, SHA1, MODP1024 санал болгодог гарцыг харуулж байна. Backend-ийн анхааруулгыг анхаарна уу: libreswan 4.x нь modp1024 бүлгийг компил хийдэггүй тул энэ нь strongSwan эсвэл DH2 дэмжлэгтэй libreswan бүтээцэд хамаарна. Клиент эвдэрсэн гэж дүгнэхээс өмнө хувилбарыг шалгана уу.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Төгсгөлийн анхаарлын тэмдэг нэг саналыг бэхлэнэ. Үүнийг тестийг тусгаарлахад ашиглаад, дараа нь авч хайна уу, ингэснээр гарц дараа нь илүү хүчтэй зүйлээр хэлэлцэх боломжтой.

Дахин оролдохын өмнө демон болон портыг шалгана уу

NetworkManager-l2tp өөрийн xl2tpd хувилбарыг эхлүүлдэг. Хэрэв системийн үйлчилгээ UDP 1701-ийг аль хэдийн эзэмшиж байгаа бол клиент түр зуурын эх порт руу шилждэг, үүнийг RFC 3193 зөвшөөрдөг бөгөөд зарим сервер үүнийг чимээгүй хаядаг. Дараагийн оролдлогын өмнө сокетийн эзэмшигчийг шалгана уу.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Хуучирсан үүсгэсэн нууцууд өөр нэг чимээгүй шалтгаан юм. Энд байгаа файлууд /etc/ipsec.d/ хуучин холболтын нэрээр нэрлэгдсэн файлууд тэдгээрийг үүсгэсэн профайлаас илүү удаан оршин тогтнож болно, тиймээс юу ч лавлагаагүйг устгаад дахин оролдоно уу.

Эцэст нь, зөвлөгөө хаанаас ирснийг шалгана уу. ipsec.conf IKEv1 XAuth-д зориулж бичсэн файл өөр төрлийн VPN-ийг дүрсэлдэг бөгөөд түүний санал L2TP профайл дахь цорын ганц буруу мөр биш. Оруулсан хувиргалтын багцыг профайлын хажууд тэмдэглэнэ үү, дараагийн хүн шалгалтыг давтахгүйн тулд.

Холбоотой нийтлэлүүд