L2TP: sinjal fatali 15, NO_PROPOSAL_CHOSEN u modp1024 nieqes

Il-konnessjoni tiegħek tistaġna, il-klijent joħroġ, u l-aħħar linja fuq l-iskrin hija death_handler: Fatal signal 15 received. Dik il-linja tirrapporta waqfa, mhux kawża. Linja waħda qabel fil-log tal-IPsec kważi dejjem hemm NO_PROPOSAL_CHOSEN, u l-par juri lejn il-fażi 2 tal-iskambju, fejn il-partijiet iqabblu l-għażliet ta’ encryption u hash u jieqfu meta ma jaqsmu xejn. Il-kredenzjali għadhom ma ntbagħtux f’dak l-istadju, għalhekk it-tipjar mill-ġdid tal-password ma jistax ibiddel ir-riżultat.

Normalment żewġ affarijiet iħottu dak il-qsim fuq klijent Linux. Id-daemon lokali jista’ ma jibqax jimplimenta l-grupp Diffie-Hellman li jitlob il-profil, jew il-profil jista’ jġorr proposta tal-fażi 1 f’qasam tal-fażi 2. It-tnejn iħallu traċċa fil-log, u l-ebda waħda mhija problema tal-kont.

X’jgħidu tassew iż-żewġ messaġġi

IKE jinnegozja f’passi. Il-fażi 1 tibni kanal protett u tagħżel l-algoritmi tagħha stess; il-fażi 2, is-SA tifel, iġġorr it-traffiku taħt sett separat. NO_PROPOSAL_CHOSEN hija n-notifika li jirritorna l-responder meta l-ebda waħda mill-kombinazzjonijiet offruti ma tkun aċċettabbli, u tidher bħala [ HASH N(NO_PROP) ] ġewwa skambju INFORMATIONAL.

Is-sinjal 15 huwa avveniment ieħor: xi ħaġa qalet lill-proċess lokali biex jieqaf u l-handler irreġistraha. Meta ż-żewġ linji jidhru flimkien, l-ordni hija kawżali, l-ewwel ċaħda u mbagħad tisbiħ.

Aqra n-negozjar qabel ma tmiss il-kredenzjali

Għolli l-livell tal-log fejn jikteb id-daemon, imbagħad erġa’ qabbad waqt li tħares lejn l-output. Fuq host NetworkManager il-plugin L2TP jgħaddi dak il-livell lill-backend, u l-messaġġi jaslu fil-journal jew fil-fajl syslog klassiku skont id-distribuzzjoni. Kull wieħed minn dawn juri l-iskambju: journalctl -f -u NetworkManager | grep -Ei 'pluto|charon|no_prop|proposal' jew tail -f /var/log/syslog | grep -Ei 'pluto|charon|ike'.

Linja li ssemmi pluto tiġi minn libreswan, charon minn strongSwan, u t-tnejn jiddeskrivu l-istess kundizzjoni b’kliem differenti. Il-forma li jistħoqqha t-tiftix hija dik li ssemmi l-grupp nieqes, pereżempju algorithm 'modp1024' is not supported, għax iddawwar falliment vag f’wieħed preċiż.

Fejn mar modp1024

Il-grupp 2 ta’ Diffie-Hellman huwa dgħajjef biżżejjed li diversi distribuzzjonijiet waqfu jikkompilawh f’libreswan minn 3.30 ’il quddiem. Imbagħad profil miktub snin ilu, jew meħud minn gwida tal-gateway li telenka biss aes128-sha1-modp1024, jitlob lid-daemon lokali xi ħaġa li ma jistax jagħmel xejn. Il-binjiet aktar ġodda ta’ NetworkManager-l2tp jagħmlu dak ir-riżultat aktar probabbli: minn 1.2.16 huma jissostitwixxu s-sett b’proposti fi stil Windows 10 u iOS u jwarrbu modp1024 hekk kif jinqabad libreswan. In-naħa l-oħra spiss tkun innoċenti u għadha toffri eżattament il-grupp li kkonfigurajt.

Din l-asimmetrija hija dik li tagħmel il-falliment jidher każwali. Klijent eqdem jikkonnettja, l-istess profil fuq laptop aġġornat le, u l-konfigurazzjoni tas-server qatt ma mxiet. Id-drifting tal-verżjonijiet jagħmel il-ħsara.

Żewġ tiswijiet b’firxa differenti

It-tiswija rħisa hija li tieqaf tfixkel l-algoritmi bl-idejn. Iffaċċa ż-żewġ oqsma tal-proposta fl-editur u ħalli l-plugin jagħżel sett li jaccetta t-tarf imbiegħed; jekk il-gateway jappoġġja gruppi moderni, in-negozjar jitlesta mingħajr aktar xogħol.

It-tieni tiswija żżomm gateway qadim aċċessibbli billi tinstalla strongSwan, li l-pakketti tiegħu għadhom jimplimentaw il-grupp 2 f’ħafna distribuzzjonijiet. Dan huwa tibdil ta’ daemon, għalhekk għandu prezz: ivverifika jekk tunnels oħra fuq il-host jiddependux mill-konfigurazzjoni ta’ libreswan qabel ma tneħħih, u stenna ċaħdiet SELinux bejn NetworkManager u l-plugin strongSwan fuq Fedora. Dawk iċ-ċaħdiet jidhru fil-log tal-awditjar mhux fit-traċċa tal-IKE, u għalhekk tunnel jista’ jidher miksur eżatt wara installazzjoni b’suċċess. L-ordni li taħdem hija l-ewwel dnf install strongswan, imbagħad rpm -e libreswan.

Kordi ta’ proposta li jaqblu, u n-nases madwarhom

Meta l-oqsma jridu jimtlew bl-idejn, il-fażi 1 u l-fażi 2 jieħdu valuri differenti. Par magħruf li jaħdem kontra tarf fi stil Meraki joffri aes128-sha1-modp1024 fil-fażi 1 b’3des-sha1-modp1024 warajh, it-tnejn magħluqa b’punt esklamazzjoni li jagħmel is-sett strett, sabiex jiġu mibgħuta biss dawk il-proposti.

Il-fażi 2 imbagħad tidjieq għal aes128-sha1 u 3des-sha1 bl-istess markatur strett u mingħajr ebda suffiss Diffie-Hellman. Linja tal-fażi 2 li ġġorr -modp1024 hija valur tal-fażi 1 fil-qasam ħażin, u r-responder jirrifjutaha f’kull tentattiv mill-ġdid. Ikkopja dik il-linja fi profil ieħor u t-tieni profil ifalli bl-istess mod, u hekk żball tat-tipjar wieħed isir inċident għall-flotta kollha.

Toroq oħra jilbsu l-istess popup mingħajr ma jkunu nuqqas ta’ qbil fil-proposti. Fuq KDE it-tip L2TP jista’ jkun elenkat bil-plugin installat waqt li kull konnessjoni tmut mill-ewwel, għax l-editur tal-konnessjonijiet u l-għajnuna tal-ħin tat-tħaddim jiġu fornuti bħala pakketti separati. Hosts mingħajr skrin jistgħu jerġgħu jużaw profil minn desktop li jaħdem: ikkopjah minn /etc/NetworkManager/system-connections/, issettja l-mod għal 600, imbagħad ħaddem nmcli con reload. Tellagħha b’nmcli con up id work-l2tp, għax il-forma għarwiena trid UUID, u neħħi kull entrata ifname skaduta, inkella l-maniġer iwieġeb Could not find source connection waqt li kull ħaġa oħra hija korretta.

Ċavetta maqsuma minn qabel tista’ tiġi maħżuna bħala test ċar jew bħala 0s segwita minn base64; iż-żewġ forom jaħdmu, iżda l-valur irid jaqbel mal-gateway bajt b’bajt, inklużi l-ispazji tat-tarf li kkopjajt magħha.