Øydela Ubuntu-oppgraderinga L2TP/IPsec? Samanlikn IKEv1-forslaga

Tilkoplinga virka torsdag, oppgraderinga køyrde fredag, og måndag snurrar klienten på “connecting” og gir opp. Same berbare, same tenar, same konto, same førehandsdelt nøkkel. Ingenting i profilen vart redigert, og difor kastar dei openberre mistenkte, passordet og brannmuren, bort tida di.

Det som endra seg, er lista over transformasjonar som maskina di er viljug til å tilby. Båe IPsec-stakkane som vert brukte på Ubuntu, strongSwan og Libreswan, fjernar algoritmar dei ikkje lenger reknar som trygge, og NetworkManager-pluginen framfor dei har si eiga liste, som flyttar seg etter ein annan tidsplan. Ein tenar låst til 3DES, SHA1 og ei 1024-bits Diffie-Hellman-gruppe kan enda med å ikkje høyra noko han godtek.

Kva oppgraderinga faktisk endra

To lag matar IKEv1-forslaget. Dæmonen leverer eit innebygt standardforslagssett, og L2TP-pluginen legg seg anten på det eller leverer si eiga liste. Før NetworkManager-l2tp 1.2.16 la pluginen seg på det, so forslaget ditt var det den installerte dæmonen fanst rimeleg. Frå 1.2.16 sender pluginen ei dokumentert liste modellert etter Windows- og Apple-klientar, og den lista er breiare enn den gamle standarden, men inneheld ikkje lenger kvar eldre kombinasjon fremst i køen.

Den splittinga forklarar ein feilmodus folk finn forvirrande: to maskiner på same Ubuntu-utgåve kan oppføre seg ulikt fordi den eine har distribusjonspakken og den andre har ein backport, og dæmonversjonen på båe ser identisk ut i ein feilrapport. Sjekk pluginversjonen, ikkje berre dæmonversjonen, før du konkluderer med at oppgraderinga ikkje endra noko relevant.

Det er ei mindre felle i same område. Dei to dæmonane skriv dei elliptiske-kurve Diffie-Hellman-gruppene ulikt, den eine skriv ecp384 og den andre ecp_384. Lim inn den gale skrivemåten i Advanced-dialogen, og dæmonen avviser innstillinga som uparsbar, noko som i loggen framstår som eit forhandlingsproblem og ikkje som ein skrivefeil i konfigurasjonen.

Les feilen før du endrar noko

Start med kva backend du køyrer, fordi svaret avgjer både syntaksen og plasseringa til loggen.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

Les deretter sjølve utvekslinga. På strongSwan skriv dæmonen til journalen på ei gjeldande utgåve og til /var/log/syslog på ei eldre, og den interessante delen er forslaget han sender, ikkje den siste lina. Du ser etter formuleringar om ingen passande forslag, som er eit algoritmeproblem; ein autentiseringsfeil, som peikar på nøkkelen eller kontoen; eller ein vanleg timeout, som peikar på tilgjenge.

Desse tre utfalla vert alt for ofte handsama som eitt symptom. Ein timeout med tom dæmonlogg tyder at pakkane ikkje kjem fram. Ei avvising av forslaget tyder at dei kom fram og vart avviste. Viss loggen din er stille, hev feilsøkingsnivået til pluginen for eitt forsøk og senk det etterpå, fordi den detaljerte utskrifta fyller ein journal raskt.

Fase 1 og fase 2 er separate veddemål

IKEv1 forhandlar to gonger. Hovudmodus byggjer IKE-tryggleiksassosiasjonen frå ein krypteringsalgoritme, ein integritetsalgoritme, ei Diffie-Hellman-gruppe og ein autentiseringsmetode. Hurtigmodus byggjer deretter ESP-assosiasjonen som skal bera L2TP. Ein tenar står fritt til å godta den første og avvise den andre, so ein halvt riktig profil feilar seinare enn du ventar og ser ut som ein annan feil.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

Utropsteiknet er strongSwan-syntaks for ei streng oppføring: tilby denne eine kombinasjonen og ingenting anna. Utan det sluttar oppføringa seg til ei reserveliste, noko som er greitt når motparten er moderne og kontraproduktivt når han er ein eining med éin hardkoda policy. Sjå på paret ovanfor som ein illustrasjon av forma, ikkje som ei tilråding for noko du byggjer i dag.

Endre eitt felt, og gjenta så testen

På ein gjeldande plugin er den raskaste første testen å tøma båe forslagsfelta heilt og kopla til på nytt, fordi den medfølgjande standardlista alt inneheld dei vanlege Windows- og Apple-kombinasjonane. På ein eldre plugin gjev tøminga kontrollen tilbake til ein dæmon som kanskje har droppa algoritmen tenaren din insisterer på, og feilen vert verre.

Viss tøminga ikkje hjelper, set du det strenge paret tenaren din dokumenterer, éin fase om gongen. Endre fase 1, kople til på nytt og les loggen før du rører fase 2. Når ein kombinasjon endeleg verkar, skriv han ned attmed tenarmodellen og pluginversjonen, fordi standardane vil flytta seg igjen, og den notata er det som gjer neste oppgradering til ein femminutts sjekk.