Ubuntu अपग्रेडने L2TP/IPsec तोडले? IKEv1 प्रस्तावांची तुलना करा

कनेक्शन गुरुवारी काम करत होते, अपग्रेड शुक्रवारी चालले, आणि सोमवारी क्लायंट “connecting” वर फिरत राहतो आणि सोडून देतो। तोच लॅपटॉप, तोच सर्व्हर, तोच खाते, तीच आधीच सामायिक केलेली किल्ली। प्रोफाइलमध्ये काहीही संपादित केले नाही, म्हणूनच स्पष्ट संशयित, पासवर्ड आणि फायरवॉल, तुमचा वेळ वाया घालवतात।

जे बदलले ते म्हणजे तुमचे मशीन देऊ करण्यास तयार असलेल्या रूपांतरांची यादी। Ubuntu वर वापरले जाणारे दोन्ही IPsec स्टॅक, strongSwan आणि Libreswan, जे अल्गोरिदम आता सुरक्षित मानत नाहीत ते काढून टाकतात, आणि त्यांच्यापुढे असलेल्या NetworkManager प्लगइनची स्वतःची यादी आहे, जी वेगळ्या वेळापत्रकाने हलते। 3DES, SHA1 आणि 1024 बिटच्या Diffie-Hellman गटावर पिन केलेला सर्व्हर शेवटी आपण स्वीकारतो ते काहीही ऐकू शकत नाही।

अपग्रेडने प्रत्यक्षात काय बदलले

IKEv1 प्रस्तावाला दोन स्तर पोषतात। डेमन कंपाइल केलेला डीफॉल्ट प्रस्ताव संच देतो, आणि L2TP प्लगइन एकतर त्यावर अवलंबून असते किंवा स्वतःची यादी देते। NetworkManager-l2tp 1.2.16 पूर्वी प्लगइन त्यावर अवलंबून होते, म्हणून तुमचा प्रस्ताव इन्स्टॉल केलेल्या डेमनला योग्य वाटेल तोच होता। 1.2.16 पासून प्लगइन Windows आणि Apple क्लायंटवर आधारित दस्तऐवजीकृत यादी पाठवते, आणि ती यादी जुन्या डीफॉल्टपेक्षा विस्तृत आहे परंतु रांगेच्या पुढील प्रत्येक जुने संयोजन आता धरत नाही।

हा विभाजन अशा अयशस्वीतेची पद्धत स्पष्ट करतो जी लोकांना गोंधळात टाकते: एकाच Ubuntu आवृत्तीवरील दोन मशीन वेगळ्या पद्धतीने वागू शकतात कारण एकाकडे वितरण पॅकेज आहे आणि दुसऱ्याकडे बॅकपोर्ट, आणि बग अहवालात दोन्हींवरील डेमन आवृत्ती सारखीच दिसते। अपग्रेडने काहीही संबंधित बदलले नाही असा निष्कर्ष काढण्यापूर्वी प्लगइन आवृत्ती तपासा, फक्त डेमन आवृत्ती नाही।

त्याच भागात एक लहान सापळा आहे। दोन्ही डेमन लंबवर्तुळाकार वक्र Diffie-Hellman गट वेगळ्या प्रकारे लिहितात, एक ecp384 लिहितो आणि दुसरा ecp_384। चुकीचे स्पेलिंग Advanced संवादात पेस्ट करा आणि डेमन ते सेटिंग विश्लेषण करण्यायोग्य नाही म्हणून नाकारेल, जे लॉगमध्ये कॉन्फिगरेशनच्या टायपिंग चुकीऐवजी वाटाघाटी समस्या म्हणून दिसते।

काहीही बदलण्यापूर्वी अयशस्वीता वाचा

तुम्ही कोणता बॅकएंड चालवत आहात यापासून सुरुवात करा, कारण उत्तर सिंटॅक्स आणि लॉगचे स्थान दोन्ही ठरवते।

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

मग देवाणघेवाणच वाचा। strongSwan वर डेमन चालू आवृत्तीत journal मध्ये आणि जुन्यात /var/log/syslog मध्ये लिहितो, आणि मनोरंजक भाग म्हणजे तो पाठवतो तो प्रस्ताव, शेवटची ओळ नाही। तुम्ही जुळणारा प्रस्ताव नाही अशी शब्दरचना शोधत आहात, जी अल्गोरिदमची समस्या आहे; प्रमाणीकरण अयशस्वी, जे किल्ली किंवा खात्याकडे निर्देश करते; किंवा साधे टाइमआउट, जे पोहोचतेपणाकडे निर्देश करते।

या तीन निकालांना बऱ्याचदा एकच लक्षण मानले जाते। रिकाम्या डेमन लॉगसह टाइमआउट म्हणजे पॅकेट येत नाहीत। प्रस्तावाचा नकार म्हणजे ते आले आणि नाकारले गेले। तुमचा लॉग शांत असल्यास एका प्रयत्नासाठी प्लगइनची डीबग पातळी वाढवा आणि नंतर कमी करा, कारण तपशीलवार आउटपुट journal लवकर भरते।

टप्पा 1 आणि टप्पा 2 वेगवेगळे दाव आहेत

IKEv1 दोन वेळा वाटाघाटी करते। मुख्य मोड IKE सुरक्षा सहयोग एन्क्रिप्शन अल्गोरिदम, अखंडता अल्गोरिदम, Diffie-Hellman गट आणि प्रमाणीकरण पद्धतीपासून बनवतो। मग जलद मोड L2TP वाहून नेणारा ESP सहयोग बनवतो। सर्व्हर पहिला स्वीकारण्यास आणि दुसरा नाकारण्यास मुक्त आहे, त्यामुळे अर्धा बरोबर प्रोफाइल तुमच्या अपेक्षेपेक्षा उशिरा अयशस्वी होतो आणि वेगळ्या बगसारखा दिसतो।

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

उद्गारवाचक चिन्ह strongSwan सिंटॅक्समध्ये कठोर नोंद आहे: फक्त हे एक संयोजन द्या, दुसरे काहीही नाही। त्याशिवाय नोंद फॉलबॅक यादीत जाते, जे समोरचा भागीदार आधुनिक असताना चांगले असते आणि एकच कठोरपणे कोड केलेली धोरण असलेले उपकरण असताना हानिकारक असते। वरील जोडीला रूपाचे उदाहरण माना, आज तुम्ही जे काही बनवत आहात त्यासाठी शिफारस म्हणून नाही।

एक फील्ड बदला, मग चाचणी पुन्हा करा

चालू प्लगइनवर सर्वात वेगवान पहिली चाचणी म्हणजे दोन्ही प्रस्ताव फील्ड पूर्णपणे रिकामे करून पुन्हा कनेक्ट करणे, कारण दिलेल्या डीफॉल्ट यादीत सामान्य Windows आणि Apple संयोजने आधीच आहेत। जुन्या प्लगइनवर ती रिकामी केल्यास नियंत्रण तुमचा सर्व्हर ज्याचा आग्रह करतो तो अल्गोरिदम सोडलेल्या डेमनकडे परत जाते, आणि अयशस्वीता आणखी वाईट होते।

रिकामे करण्याने मदत झाली नाही तर तुमचा सर्व्हर दस्तऐवजीकृत करतो ती कठोर जोडी एका वेळी एक टप्पा सेट करा। टप्पा 1 बदला, पुन्हा कनेक्ट करा, आणि टप्पा 2 ला स्पर्श करण्यापूर्वी लॉग वाचा। संयोजन शेवटी काम करू लागल्यावर ते सर्व्हर मॉडेल आणि प्लगइन आवृत्तीच्या शेजारी लिहून ठेवा, कारण डीफॉल्ट पुन्हा बदलतील आणि तीच नोंद पुढील अपग्रेडला पाच मिनिटांच्या तपासणीत बदलते।