L-aġġornament ta' Ubuntu kisser L2TP/IPsec? Qabbel il-proposti IKEv1

Il-konnessjoni ħadmet il-Ħamis, l-aġġornament tħaddem il-Ġimgħa, u t-Tnejn il-klijent idur fuq “connecting” u jċedi. L-istess laptop, l-istess server, l-istess kont, l-istess ċavetta maqsuma minn qabel. Xejn fil-profil ma ġie editjat, u għalhekk is-suspettati ovvji, il-password u l-firewall, jaħlu l-ħin tiegħek.

Dak li nbidel huwa l-lista ta' trasformazzjonijiet li l-magna tiegħek hija lesta toffri. Iż-żewġ stacks IPsec użati fuq Ubuntu, strongSwan u Libreswan, jinqgħu algoritmi li ma jibqgħux iqisuhom siguri, u l-plugin NetworkManager li jinsab quddiemhom għandu l-lista tiegħu stess, li timxi skont skeda differenti. Server imqabbad ma' 3DES, SHA1 u grupp Diffie-Hellman ta' 1024 bit jista' jispiċċa ma jisma' xejn minn dak li jaċċetta.

X'bidel tassew l-aġġornament

Żewġ saffi jitimgħu l-proposta IKEv1. Id-daemon iwassal sett ta' proposti prestabbiliti kkompilat, u l-plugin L2TP jew joqgħod fuqu jew jipprovdi l-lista tiegħu stess. Qabel NetworkManager-l2tp 1.2.16 il-plugin kien joqgħod fuqu, għalhekk il-proposta tiegħek kienet dak li d-daemon installat qies raġonevoli. Minn 1.2.16 'il quddiem il-plugin jibgħat lista dokumentata mmudellata fuq klijenti Windows u Apple, u dik il-lista hija usa' mill-prestabbilita l-qadima iżda m'għadhiex fiha kull kombinazzjoni antika fil-quddiem tal-kju.

Din il-qasma tispjega mod ta' falliment li n-nies isibu konfuż: żewġ magni fuq l-istess rilaxx ta' Ubuntu jistgħu jġibu ruħhom b'mod differenti għax waħda għandha l-pakkett tad-distribuzzjoni u l-oħra għandha backport, u l-verżjoni tad-daemon fuq it-tnejn tidher identika f'rapport ta' żball. Iċċekkja l-verżjoni tal-plugin, mhux biss il-verżjoni tad-daemon, qabel ma tikkonkludi li l-aġġornament ma bidel xejn rilevanti.

Hemm nassa iżgħar fl-istess żona. Iż-żewġ daemons jiktbu l-gruppi Diffie-Hellman tal-kurva ellittika b'mod differenti, wieħed jikteb ecp384 u l-ieħor ecp_384. Ippejstja l-ortografija ħażina fid-djalogu Advanced u d-daemon jirrifjuta s-setting bħala mhux analizzabbli, li jidher fil-log bħala problema ta' negozjar u mhux bħala żball tat-tip fil-konfigurazzjoni.

Aqra l-falliment qabel ma tibdel xejn

Ibda b'liema backend qed tħaddem, għax it-tweġiba tiddetermina kemm is-sintassi kif ukoll il-post tal-log.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

Imbagħad aqra l-iskambju nnifsu. Fuq strongSwan id-daemon jikteb fil-journal fuq rilaxx attwali u f'/var/log/syslog fuq wieħed eqdem, u l-parti interessanti hija l-proposta li jibgħat, mhux l-aħħar linja. Qed tfittex kliem dwar l-ebda proposta li taqbel, li hija problema ta' algoritmu; falliment ta' awtentikazzjoni, li jindika lejn iċ-ċavetta jew il-kont; jew timeout sempliċi, li jindika lejn l-aċċessibbiltà.

Dawn it-tliet riżultati jiġu trattati bħala sintomu wieħed wisq spiss. Timeout b'log tad-daemon vojt ifisser li l-pakketti ma jaslux. Rifjut tal-proposta ifisser li waslu u ġew rifiutati. Jekk il-log tiegħek huwa sieket, għolli l-livell tad-debug tal-plugin għal prova waħda u mbagħad naqqsu, għax l-output dettaljat jimla journal malajr.

Il-fażi 1 u l-fażi 2 huma imħatri separati

IKEv1 jinnegozja darbtejn. Il-modalità prinċipali tibni l-assoċjazzjoni tas-sigurtà IKE minn algoritmu ta' encryption, algoritmu ta' integrità, grupp Diffie-Hellman u metodu ta' awtentikazzjoni. Il-modalità mgħaġġla mbagħad tibni l-assoċjazzjoni ESP li se ġġorr L2TP. Is-server huwa ħieles li jaċċetta l-ewwel u jirrifjuta t-tieni, għalhekk profil nofs korrett ifalli aktar tard milli tistenna u jidher bħala bug ieħor.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

Il-marka ta' esklamazzjoni hija sintassi strongSwan għal dħul strett: offri din il-kombinazzjoni waħda u xejn aktar. Mingħajrha d-dħul jingħaqad ma' lista ta' rikors, li hija tajba meta l-pari huwa modern u kontroproduttiva meta huwa apparat b'politika waħda kodifikata iebsa. Qis il-par hawn fuq bħala illustrazzjoni tal-forma, mhux bħala rakkomandazzjoni għal xi ħaġa li qed tibni llum.

Biddel qasam wieħed, imbagħad erġa' għamel it-test

Fuq plugin attwali, l-ewwel test l-aktar malajr huwa li tħassar kompletament iż-żewġ oqsma tal-proposta u terġa' tikkonnettja, għax il-lista prestabbilita fornuta diġà tinkludi l-kombinazzjonijiet komuni ta' Windows u Apple. Fuq plugin eqdem, it-tħassir tagħhom jgħaddi l-kontroll lura lil daemon li jista' jkun telaq l-algoritmu li s-server tiegħek jinsisti fuqu, u l-falliment jiggrava.

Jekk it-tħassir ma jgħinx, issettja l-par strett li jiddokumenta s-server tiegħek, fażi waħda kull darba. Biddel il-fażi 1, erġa' tikkonnettja, u aqra l-log qabel ma tmiss il-fażi 2. Meta kombinazzjoni fl-aħħar taħdem, iktebha ħdejn il-mudell tas-server u l-verżjoni tal-plugin, għax il-prestabbiliti se jerġgħu jiċċaqilqu u dik in-nota hija li tibdel l-aġġornament li jmiss f'verifika ta' ħames minuti.