NO_PROPOSAL_CHOSEN fuq L2TP? L-ewwel skennja l-gateway

Klijent L2TP/IPsec li jonqos qabel il-mistoqsija tal-isem tal-utent qatt ma qabel dwar il-fażi 1. Skennja s-sett ta’ proposti tal-gateway minflok twaħħal kordi taċ-ċifrar.

Il-mistoqsija tal-isem tal-utent qatt ma tidher, u l-klijent jirrapporta NO_PROPOSAL_CHOSEN. Dak il-ħin il-kredenzjali u l-muftieħ maqsum minn qabel huma irrilevanti, għax iż-żewġ trufijiet ma qabluwiex kif għandha tiġi protetta l-fażi 1. Il-biċċa l-kbira tan-nies iwieġbu billi jwaħħlu korda tal-cipher li sabu online. Skennjar tal-gateway iwieġeb l-istess mistoqsija b’evidenza u jieħu madwar l-istess ħin.

X’jiċħad il-messaġġ

Ir-rifjut iseħħ fil-modalità prinċipali, qabel kull skambju L2TP jew PPP, għalhekk il-mina u l-bażi tad-data tal-utenti ma ġewx ikkonsultati. Il-fażi 1 tinnegozja l-kriptaġġ, l-integrità u grupp Diffie-Hellman. Il-fażi 2 tinnegozja l-proposta ESP għad-data. Falliment fil-fażi 1 ma jiġix irranġat billi tinbidel setting tal-PFS fil-fażi 2, u assoċjazzjoni IKE kompluta ma tippruvax li l-proposta ESP taqbel.

Irrekordja l-backend qabel ma teditja s-sintassi: ipsec --version. libreswan u strongSwan jaċċettaw ortografiji differenti tal-proposta għall-istess algoritmi.

Imbagħad aqra r-rifjut fil-kuntest ma’ journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Skennja l-gateway għas-sett ta’ trasformazzjonijiet tiegħu

Skennja jistaqsi lill-gateway direttament liema trasformazzjonijiet se jinnegozja. L-ewwel waqqaf is-servizz IPsec lokali biex il-prova ma tikkompetix mal-klijent tiegħek, imbagħad aqra l-linji SA. Ittratta l-lista bħala evidenza dwar il-pari, mhux bħala menu li għandu jiġi attivat kollu.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Apparat anzjani spiss joffru 3DES, SHA1 u MODP1024, għax dawk kienu l-valuri awtomatiċi meta l-prodott ġie mibgħut u ħadd ma reġa’ ċekkjahom. Żomm il-ħruġ mhux ipproċessat tal-iskennjar, għax huwa l-unika rekord ta’ dak li offra l-pari dak il-jum. Jekk din hija l-akbar sovrappożizzjoni disponibbli, l-eskalazzjoni t-tajba hija lejn is-sid tal-gateway, mhux lejn konfigurazzjoni tal-klijent li terġa’ tixgħel kriptografija dgħajfa għal kulħadd.

Qabbel is-sovrappożizzjoni mingħajr ma tiddiżattiva s-sigurtà

Iddaħħal biss it-trasformazzjonijiet li jidhru kemm fl-iskennjar kif ukoll fil-politika tiegħek. L-eżempju hawn taħt jirrifletti gateway li joffri 3DES, SHA1 u MODP1024 fil-fażi 1. Innota l-kaveat tal-backend: libreswan 4.x ma jikkompilax il-grupp modp1024, għalhekk dan japplika għal strongSwan jew build ta’ libreswan b’appoġġ DH2. Ivverifika l-verżjoni qabel ma tikkonkludi li l-klijent huwa mħassar.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Punt esklamazzjoni fl-aħħar ippinna proposta waħda. Użah biex tiżola test, imbagħad neħħih sabiex il-gateway ikun jista’ jinnegozja xi ħaġa aktar b’saħħitha aktar tard.

Iċċekkja d-daemon u l-port qabel ma terġa’ tipprova

NetworkManager-l2tp jibda l-istanza xl2tpd tiegħu stess. Jekk is-servizz tas-sistema diġà jippossjedi l-UDP 1701, il-klijent jaqleb għal port ta’ sors effimeru, li jippermetti RFC 3193 u li xi servers jitfgħu fis-skiet. Iċċekkja s-sid tas-socket qabel l-attentat li jmiss.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Sigrieti ġġenerati skaduti huma kawża siekta oħra. Il-fajls taħt /etc/ipsec.d/ imsemmija għal konnessjoni qadima jistgħu jgħixu aktar mill-profil li ħoloqhom, għalhekk neħħi dawk li xejn ma jirreferi għalihom u erġa’ pprova.

Fl-aħħar, iċċekkja minn fejn ġie l-parir. ipsec.conf miktub għal IKEv1 XAuth jiddeskrivi tip ieħor ta’ VPN, u l-proposta tiegħu mhijiex l-unika linja li se tkun ħażina fi profil L2TP. Irrekordja s-sett ta’ trasformazzjonijiet li daħħalt ħdejn il-profil, sabiex il-persuna li jmiss ma terġax tagħmel il-prova.

Artikli relatati