Ubuntu-гийн шинэчлэл L2TP/IPsec-ийг эвдсэн үү? IKEv1 саналыг харьцуул

Холболт Пүрэв гарагт ажиллаж байсан, шинэчлэл Баасан гарагт ажилласан, Даваа гарагт клиент “connecting” дээр эргэлдэж, бууж өгдөг. Ижил зөөврийн компьютер, ижил сервер, ижил бүртгэл, ижил урьдчилан хуваалцсан түлхүүр. Профайлд юу ч засагдаагүй, тиймээс илт сэжигтнүүд, нууц үг болон firewall, таны цагийг үрээнэ.

Өөрчлөгдсөн зүйл бол таны машин санал болгоход бэлэн байгаа хувиргалтуудын жагсаалт юм. Ubuntu дээр хэрэглэгддэг хоёр IPsec стек, strongSwan болон Libreswan, цаашид аюулгүй гэж үзэхгүй байгаа алгоритмуудыг хасдаг, тэдний өмнө байгаа NetworkManager залгамжийн өөрийн жагсаалт байдаг бөгөөд энэ нь өөр хуваарийн дагуу хөдөлдөг. 3DES, SHA1 болон 1024 битийн Diffie-Hellman бүлэгт бэхлэгдсэн сервер эцэстээ өөрийн хүлээн авдаг юу ч сонсохгүй байж болно.

Шинэчлэл үнэхээр юуг өөрчилсөн бэ

IKEv1 саналыг хоёр давхарга тэжээдэг. Демон нь компиляцлагдсан анхдагч саналын багцыг нийлүүлдэг, L2TP залгамж нь түүнд найдах эсвэл өөрийн жагсаалтыг өгдөг. NetworkManager-l2tp 1.2.16-аас өмнө залгамж нь түүнд найдаж байсан тул таны санал нь суулгасан демон боломжит гэж үзсэн зүйл байв. 1.2.16-аас хойш залгамж нь Windows болон Apple клиентүүдийн загвараар хийсэн баримтжуулсан жагсаалтыг илгээдэг бөгөөд энэ жагсаалт хуучин анхдагчаас өргөн боловч дарааллын толгойд байсан бүх хуучин хослолыг цаашид агуулаагүй.

Энэ хуваагдал хүмүүст будлиантай санагддаг бүтэлгүйтлийн хэв маягийг тайлбарладаг: нэг Ubuntu хувилбар дээрх хоёр машин өөрөөр ажиллаж болно, учир нь нэгд нь түгээлтийн багц, нөгөөд нь backport байгаа бөгөөд алдааны тайланд хоёуланд нь демоны хувилбар ижил харагдана. Шинэчлэл ямар ч чухал зүйлийг өөрчлөөгүй гэж дүгнэхээс өмнө зөвхөн демоны хувилбар бус, залгамжийн хувилбарыг шалгаарай.

Мөн адил хэсэгт бага зэрэг урхи бий. Хоёр демон эллипс муруйн Diffie-Hellman бүлгүүдийг өөрөөр бичдэг, нэг нь ecp384, нөгөө нь ecp_384 гэж бичдэг. Буруу бичлэгийг Advanced харилцах цонхонд буулгавал демон тохиргоог задлан шинжлэх боломжгүй гэж татгалзах бөгөөд энэ нь лог дээр тохиргооны үсгийн алдаа биш, хэлэлцээрийн асуудал болж харагдана.

Ямар нэгэн зүйлийг өөрчлөхөөс өмнө бүтэлгүйтлийг уншина уу

Аль backend ажиллуулж байгаагаас эхэл, учир нь хариулт нь синтакс болон логын байршлыг хоёуланг нь тодорхойлно.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

Дараа нь солилцоог өөрөө унш. strongSwan дээр демон одоогийн хувилбарт journal руу, хуучин хувилбарт /var/log/syslog руу бичдэг бөгөөд сонирхолтой хэсэг нь сүүлийн мөр биш, харин илгээсэн санал юм. Та тохирох санал байхгүй гэсэн томьёолол хайж байна, энэ нь алгоритмын асуудал; баталгаажуулалтын алдаа, энэ нь түлхүүр эсвэл бүртгэл рүү заана; эсвэл энгийн timeout, энэ нь хүртээмж рүү заана.

Эдгээр гурван үр дүнг хэт олон удаа нэг шинж тэмдэг гэж үздэг. Хоосон демон логтой timeout нь пакетууд ирэхгүй байгааг илэрхийлнэ. Саналыг татгалзсан нь тэд ирсэн боловч татгалзсан гэсэн үг. Хэрэв таны лог чимээгүй бол нэг оролдлогын турш залгамжийн дибаг түвшинг өсгөөд дараа нь буулга, учир нь дэлгэрэнгүй гаралт journal-ыг хурдан дүүргэдэг.

1-р үе шат ба 2-р үе шат нь тусдаа бооцоо

IKEv1 хоёр удаа хэлэлцээр хийдэг. Үндсэн горим нь IKE аюулгүй байдлын холбоог шифрлэлтийн алгоритм, бүрэн бүтэн байдлын алгоритм, Diffie-Hellman бүлэг, баталгаажуулалтын аргаас бүрдүүлдэг. Дараа нь хурдан горим L2TP-г зөөх ESP холбоог бүрдүүлдэг. Сервер эхнийхийг хүлээн авч, хоёр дахьыг татгалзах эрхтэй тул хагас зөв профайл таны хүлээснээс хожуу бүтэлгүйтэж, өөр алдаа мэт харагдана.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

Анхааруулах тэмдэг нь strongSwan синтаксист хатуу бичлэг гэсэн үг: зөвхөн энэ нэг хослолыг санал болго, өөр юу ч үгүй. Үүнгүйгээр бичлэг нөөц жагсаалтад нэгддэг, энэ нь түнш орчин үеийн бол сайн, харин нэг хатуу кодлогдсон бодлоготой төхөөрөмж бол хор хөнөөлтэй. Дээрх хосыг хэлбэрийн жишээ гэж үз, өнөөдөр бүтээж байгаа юунд ч зөвлөмж гэж биш.

Нэг талбарыг өөрчилж, дараа нь туршилтыг давт

Одоогийн залгамжид хамгийн хурдан эхний туршилт бол хоёр саналын талбарыг бүрэн цэвэрлэж дахин холбогдох, учир нь нийлүүлсэн анхдагч жагсаалт нийтлэг Windows болон Apple хослолыг аль хэдийн агуулдаг. Хуучин залгамжид тэдгээрийг цэвэрлэх нь сервер тань шаардаж байгаа алгоритмыг орхигдуулсан байж болох демонд хяналтыг буцааж өгөх бөгөөд бүтэлгүйтэл улам дордоно.

Хэрэв цэвэрлэх нь тус болохгүй бол сервер тань баримтжуулсан хатуу хосыг нэг үе шат тутамд тохируул. 1-р үе шатыг өөрчилж, дахин холбогдож, 2-р үе шатад хүрэхээс өмнө логыг унш. Хослол эцэстээ ажиллахад серверийн загвар болон залгамжийн хувилбарын хажууд бичиж хадгал, учир нь анхдагчууд дахин шилжинэ, тэр тэмдэглэл л дараагийн шинэчлэлийг таван минутын шалгалт болгоно.