L2TP NO_PROPOSAL_CHOSEN: liema fażi falliet tassew?

NO_PROPOSAL_CHOSEN jasal qabel ma tiġi eżaminata kwalunkwe isem tal-utent PPP, li hija fatt utli u wkoll ir-raġuni għaliex il-messaġġ iqarraq. Jirrapporta li naħa waħda ċaħdet proposta; ma jirrapportax liema parametru ma qabilx, u ma jgħid xejn dwar jekk iċ-ċaħda seħħetx waqt il-bini tal-assoċjazzjoni IKE jew aktar tard waqt in-negozjati dwar il-protezzjoni tat-traffiku. Wara dawn iż-żewġ possibilità hemm żewġ korrezzjonijiet differenti, u waħda biss minnhom tinvolvi l-kaxxa tal-PFS li n-nies jagħtu lejha l-ewwel.

Messaġġ wieħed, żewġ settijiet ta' proposti

L-arranġament IKEv1 L2TP/IPsec għandu żewġ negozjati f'sekwenza. Il-fażi 1 tibni l-assoċjazzjoni tas-sigurtà IKE minn algoritmu tal-kriptaġġ, algoritmu tal-integrità u grupp Diffie-Hellman. Il-fażi 2 mbagħad tinnegozja kif it-traffiku jiġi protett, u r-rekwiżit tal-PFS jappartjeni għal dik it-tieni konversazzjoni.

Billi l-fażijiet huma sekwenzjali, il-pożizzjoni tal-falliment tgħidlek liema lista għandek tqabbel. F'dan jinsab il-valur dijanjostiku kollu tal-messaġġ, u jiswa li tiġbru qabel ma tmiss kwalunkwe setting.

Għaliex kaxxa tal-PFS ma tistax issewwi l-fażi 1

Id-diżattivazzjoni tal-PFS tibdel proprjetà tal-fażi 2. Jekk il-partijiet qatt ma qablu dwar il-fażi 1, il-konversazzjoni ESP qatt ma ssir, għalhekk il-kaxxa ma għandha l-ebda effett fuq iċ-ċaħda, u huwa għalhekk li l-bdil tagħha jipproduċi l-istess żball b'timbru tal-ħin differenti.

L-iżball oppost huwa daqstant komuni. Assoċjazzjoni IKE li tirnexxi ma tipprovax li l-proposta ESP hija aċċettabbli, u żgur ma tipprovax li l-grupp tal-fażi 2 jaqbel. Ittratta tunnel tal-ġestjoni stabbilit bħala evidenza dwar il-fażi 1 biss. In-nies jaqraw il-linja ħadra bħala «it-tunnel huwa 'l fuq», imbagħad iqattgħu siegħa fuq il-fażi żbaljata għax xejn ma qalilhom li t-tieni negozjat ma kienx beda.

Aqra l-log qabel ma tagħżel l-algoritmi

Iġbor il-messaġġi eżatt qabel iċ-ċaħda mill-backend li tassew qed imexxi l-konnessjoni, u korrelahom mal-istess tentattiv. Mingħajr dik il-korrelazzjoni qed taqra l-istorja ta' konnessjoni oħra u tieħu konklużjonijiet minnha.

journalctl -b -u NetworkManager --since "10 min ago"
ipsec statusall          # strongSwan
ipsec whack --status     # Libreswan

Minn dawk il-linji, wieġeb żewġ mistoqsijiet: jekk ġietx stabbilita assoċjazzjoni tal-fażi 1, u liema skambju falla. Dawn it-tweġibiet itnejn jiddejqu t-tfittxija għal lista waħda ta' attributi. Notifika għarwiena mingħajr kuntest madwarha ma tistax tagħmel dan, kemm huwa tentanti li tipprova proposta minn ħajta tal-forum. L-ikkupjar ta' string li jaħdem minn magna b'backend ieħor normalment jissostitwixxi ċaħda b'oħra, ftit aktar tard.

Is-sintassi tal-backend ma tivvjaġġax

Innota l-verżjoni ta' NetworkManager-l2tp u l-verżjoni tal-backend IPsec qabel ma tqabbel xejn. Libreswan u strongSwan ma jaqsmu la sintassi tal-proposti u lanqas settijiet identiċi ta' algoritmi, għalhekk string li jaħdem f'wieħed huwa żball tas-sintassi fl-ieħor. Il-backend installat jista' wkoll jirrifjuta IKEv1 skont il-politika, u mbagħad ebda proposta qatt ma tiġi aċċettata.

Ir-README tal-proġett jiddokumenta dawn id-differenzi bejn il-backends u jżomm l-oqsma tal-fażi 1 u tal-fażi 2 separati. Aqrah bħala dokumentazzjoni tal-istruttura, mhux bħala stedina biex tattiva kull ċifrar storiku u grupp dgħajjef, għax konnessjoni li tirnexxi biss hekk mhijiex il-konnessjoni li ntalbiet tibni.

Qablu dwar is-suit, imbagħad ivverifika l-istadji

Staqsi lill-operatur tal-gateway liema suits IKE u ESP huma appoġġjati u approvati, imbagħad qabbel dik it-tweġiba mal-proposti effettivi tal-klijent u mhux mal-fajl tal-konfigurazzjoni tiegħu. Jekk in-nuqqas ta' qbil huwa speċifikament dwar il-PFS tal-fażi 2, iddeċiedi grupp appoġġjat jew politika mingħajr PFS approvata b'mod espliċitu. Tiddeduċix il-politika mill-isem tal-iżball.

Meta l-unika sovrappożizzjoni teħtieġ kriptografija li l-organizzazzjoni m'għadhiex taċċetta, id-deċiżjoni tappartjeni lill-gateway jew lil migrazzjoni tal-protokoll. It-twessigħ tal-string tal-klijent sakemm xi ħaġa tinnegozja huwa mod kif tgħaddi dgħufija magħrufa b'tik ħadra maġenbu.

Wara li tikkoreġi l-veru nuqqas ta' qbil, ikkonferma l-istabbiliment tal-IPsec qabel ma tinvestiga L2TP u PPP, u ttratta kwalunkwe ċaħda ta' awtentikazzjoni aktar tard bħala li tappartjeni lill-istadju li jmiss. Imbagħad ipprova t-tiġdid fil-proċess tat-test approvat, għax l-istabbiliment tal-ewwel assoċjazzjoni ma jgħid xejn dwar il-bqija ta' ħajtu.