ਕੀ Ubuntu ਅਪਗ੍ਰੇਡ ਨੇ L2TP/IPsec ਤੋੜ ਦਿੱਤਾ? IKEv1 ਪ੍ਰਸਤਾਵਾਂ ਦੀ ਤੁਲਨਾ ਕਰੋ

ਕਨੈਕਸ਼ਨ ਵੀਰਵਾਰ ਨੂੰ ਕੰਮ ਕਰ ਰਿਹਾ ਸੀ, ਅਪਗ੍ਰੇਡ ਸ਼ੁੱਕਰਵਾਰ ਨੂੰ ਚੱਲਿਆ, ਅਤੇ ਸੋਮਵਾਰ ਨੂੰ ਕਲਾਇੰਟ “connecting” ਉੱਤੇ ਘੁੰਮਦਾ ਰਹਿੰਦਾ ਹੈ ਅਤੇ ਹਾਰ ਮੰਨ ਲੈਂਦਾ ਹੈ। ਉਹੀ ਲੈਪਟਾਪ, ਉਹੀ ਸਰਵਰ, ਉਹੀ ਖਾਤਾ, ਉਹੀ ਪਹਿਲਾਂ ਸਾਂਝੀ ਕੀਤੀ ਕੁੰਜੀ। ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ ਕੁਝ ਵੀ ਸੰਪਾਦਿਤ ਨਹੀਂ ਕੀਤਾ ਗਿਆ, ਇਸ ਲਈ ਸਪਸ਼ਟ ਸ਼ੱਕੀ, ਪਾਸਵਰਡ ਅਤੇ ਫਾਇਰਵਾਲ, ਤੁਹਾਡਾ ਸਮਾਂ ਬਰਬਾਦ ਕਰਦੇ ਹਨ।

ਜੋ ਬਦਲਿਆ ਹੈ ਉਹ ਉਨ੍ਹਾਂ ਰੂਪਾਂਤਰਾਂ ਦੀ ਸੂਚੀ ਹੈ ਜੋ ਤੁਹਾਡੀ ਮਸ਼ੀਨ ਪੇਸ਼ ਕਰਨ ਲਈ ਤਿਆਰ ਹੈ। Ubuntu ਉੱਤੇ ਵਰਤੇ ਜਾਣ ਵਾਲੇ ਦੋਵੇਂ IPsec ਸਟੈਕ, strongSwan ਅਤੇ Libreswan, ਉਹ ਐਲਗੋਰਿਦਮ ਹਟਾ ਦਿੰਦੇ ਹਨ ਜਿਨ੍ਹਾਂ ਨੂੰ ਹੁਣ ਸੁਰੱਖਿਅਤ ਨਹੀਂ ਮੰਨਦੇ, ਅਤੇ ਉਨ੍ਹਾਂ ਦੇ ਅੱਗੇ ਖੜ੍ਹੇ NetworkManager ਪਲੱਗਇਨ ਦੀ ਆਪਣੀ ਸੂਚੀ ਹੈ, ਜੋ ਵੱਖਰੇ ਸਮਾਂ-ਸਾਰਣੀ ਉੱਤੇ ਚੱਲਦੀ ਹੈ। 3DES, SHA1 ਅਤੇ 1024 ਬਿੱਟ ਦੇ Diffie-Hellman ਸਮੂਹ ਉੱਤੇ ਪਿੰਨ ਕੀਤਾ ਸਰਵਰ ਅੰਤ ਵਿੱਚ ਉਹ ਕੁਝ ਵੀ ਨਹੀਂ ਸੁਣ ਸਕਦਾ ਜੋ ਉਹ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ।

ਅਪਗ੍ਰੇਡ ਨੇ ਅਸਲ ਵਿੱਚ ਕੀ ਬਦਲਿਆ

IKEv1 ਪ੍ਰਸਤਾਵ ਨੂੰ ਦੋ ਪਰਤਾਂ ਪੋਸ਼ਣ ਦਿੰਦੀਆਂ ਹਨ। ਡੈਮਨ ਕੰਪਾਇਲ ਕੀਤਾ ਡਿਫਾਲਟ ਪ੍ਰਸਤਾਵ ਸੈੱਟ ਦਿੰਦਾ ਹੈ, ਅਤੇ L2TP ਪਲੱਗਇਨ ਜਾਂ ਤਾਂ ਉਸ ਉੱਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਜਾਂ ਆਪਣੀ ਸੂਚੀ ਦਿੰਦਾ ਹੈ। NetworkManager-l2tp 1.2.16 ਤੋਂ ਪਹਿਲਾਂ ਪਲੱਗਇਨ ਉਸ ਉੱਤੇ ਨਿਰਭਰ ਕਰਦਾ ਸੀ, ਇਸ ਲਈ ਤੁਹਾਡਾ ਪ੍ਰਸਤਾਵ ਉਹੀ ਸੀ ਜੋ ਸਥਾਪਿਤ ਡੈਮਨ ਨੂੰ ਵਾਜਬ ਲੱਗਦਾ ਸੀ। 1.2.16 ਤੋਂ ਅੱਗੇ ਪਲੱਗਇਨ Windows ਅਤੇ Apple ਕਲਾਇੰਟਾਂ ਉੱਤੇ ਆਧਾਰਿਤ ਇੱਕ ਦਸਤਾਵੇਜ਼ੀ ਸੂਚੀ ਭੇਜਦਾ ਹੈ, ਅਤੇ ਉਹ ਸੂਚੀ ਪੁਰਾਣੀ ਡਿਫਾਲਟ ਨਾਲੋਂ ਵਿਸ਼ਾਲ ਹੈ ਪਰ ਹੁਣ ਕਤਾਰ ਦੇ ਅੱਗੇ ਹਰ ਪੁਰਾਣਾ ਸੁਮੇਲ ਨਹੀਂ ਰੱਖਦੀ।

ਇਹ ਵੰਡ ਉਸ ਅਸਫਲਤਾ ਢੰਗ ਦੀ ਵਿਆਖਿਆ ਕਰਦੀ ਹੈ ਜੋ ਲੋਕਾਂ ਨੂੰ ਉਲਝਣ ਵਾਲਾ ਲੱਗਦਾ ਹੈ: ਇੱਕੋ Ubuntu ਸੰਸਕਰਣ ਦੀਆਂ ਦੋ ਮਸ਼ੀਨਾਂ ਵੱਖਰਾ ਵਿਵਹਾਰ ਕਰ ਸਕਦੀਆਂ ਹਨ ਕਿਉਂਕਿ ਇੱਕ ਕੋਲ ਵੰਡ ਪੈਕੇਜ ਹੈ ਅਤੇ ਦੂਜੇ ਕੋਲ ਬੈਕਪੋਰਟ, ਅਤੇ ਬੱਗ ਰਿਪੋਰਟ ਵਿੱਚ ਦੋਵਾਂ ਉੱਤੇ ਡੈਮਨ ਸੰਸਕਰਣ ਇੱਕੋ ਜਿਹਾ ਦਿਸਦਾ ਹੈ। ਇਹ ਸਿੱਟਾ ਕੱਢਣ ਤੋਂ ਪਹਿਲਾਂ ਕਿ ਅਪਗ੍ਰੇਡ ਨੇ ਕੋਈ ਸੰਬੰਧਿਤ ਚੀਜ਼ ਨਹੀਂ ਬਦਲੀ, ਪਲੱਗਇਨ ਸੰਸਕਰਣ ਜਾਂਚੋ, ਸਿਰਫ਼ ਡੈਮਨ ਸੰਸਕਰਣ ਨਹੀਂ।

ਉਸੇ ਖੇਤਰ ਵਿੱਚ ਇੱਕ ਛੋਟਾ ਜਾਲ ਹੈ। ਦੋਵੇਂ ਡੈਮਨ ਅੰਡਾਕਾਰ ਵਕਰ Diffie-Hellman ਸਮੂਹਾਂ ਨੂੰ ਵੱਖਰੇ ਤਰੀਕੇ ਨਾਲ ਲਿਖਦੇ ਹਨ, ਇੱਕ ecp384 ਲਿਖਦਾ ਹੈ ਅਤੇ ਦੂਜਾ ecp_384। ਗਲਤ ਸ਼ਬਦ-ਜੋੜ Advanced ਸੰਵਾਦ ਵਿੱਚ ਪੇਸਟ ਕਰੋ ਅਤੇ ਡੈਮਨ ਉਸ ਸੈਟਿੰਗ ਨੂੰ ਵਿਸ਼ਲੇਸ਼ਣਯੋਗ ਨਹੀਂ ਕਹਿ ਕੇ ਰੱਦ ਕਰ ਦੇਵੇਗਾ, ਜੋ ਲੌਗ ਵਿੱਚ ਕਨਫਿਗਰੇਸ਼ਨ ਦੀ ਟਾਈਪਿੰਗ ਗਲਤੀ ਦੀ ਥਾਂ ਗੱਲਬਾਤ ਸਮੱਸਿਆ ਵਜੋਂ ਦਿਸਦਾ ਹੈ।

ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਅਸਫਲਤਾ ਪੜ੍ਹੋ

ਤੁਸੀਂ ਕਿਹੜਾ ਬੈਕਐਂਡ ਚਲਾ ਰਹੇ ਹੋ ਇਸ ਨਾਲ ਸ਼ੁਰੂ ਕਰੋ, ਕਿਉਂਕਿ ਜਵਾਬ ਸਿੰਟੈਕਸ ਅਤੇ ਲੌਗ ਦੀ ਥਾਂ ਦੋਵੇਂ ਤੈਅ ਕਰਦਾ ਹੈ।

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

ਫਿਰ ਅਦਲਾ-ਬਦਲੀ ਆਪ ਪੜ੍ਹੋ। strongSwan ਉੱਤੇ ਡੈਮਨ ਮੌਜੂਦਾ ਸੰਸਕਰਣ ਵਿੱਚ journal ਵਿੱਚ ਅਤੇ ਪੁਰਾਣੇ ਵਿੱਚ /var/log/syslog ਵਿੱਚ ਲਿਖਦਾ ਹੈ, ਅਤੇ ਦਿਲਚਸਪ ਹਿੱਸਾ ਉਹ ਪ੍ਰਸਤਾਵ ਹੈ ਜੋ ਉਹ ਭੇਜਦਾ ਹੈ, ਆਖਰੀ ਲਾਈਨ ਨਹੀਂ। ਤੁਸੀਂ ਇਹ ਪਤਾ ਲਗਾ ਰਹੇ ਹੋ ਕਿ ਕੋਈ ਮੇਲ ਖਾਂਦਾ ਪ੍ਰਸਤਾਵ ਨਹੀਂ, ਜੋ ਐਲਗੋਰਿਦਮ ਦੀ ਸਮੱਸਿਆ ਹੈ; ਪ੍ਰਮਾਣਿਕਤਾ ਅਸਫਲਤਾ, ਜੋ ਕੁੰਜੀ ਜਾਂ ਖਾਤੇ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੀ ਹੈ; ਜਾਂ ਸਾਧਾਰਨ ਟਾਈਮਆਊਟ, ਜੋ ਪਹੁੰਚ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ।

ਇਹ ਤਿੰਨ ਨਤੀਜਿਆਂ ਨੂੰ ਬਹੁਤ ਵਾਰ ਇੱਕ ਲੱਛਣ ਮੰਨ ਲਿਆ ਜਾਂਦਾ ਹੈ। ਖਾਲੀ ਡੈਮਨ ਲੌਗ ਵਾਲਾ ਟਾਈਮਆਊਟ ਦਾ ਅਰਥ ਹੈ ਕਿ ਪੈਕੇਟ ਨਹੀਂ ਪਹੁੰਚ ਰਹੇ। ਪ੍ਰਸਤਾਵ ਦਾ ਰੱਦ ਹੋਣਾ ਦਾ ਅਰਥ ਹੈ ਕਿ ਉਹ ਆਏ ਅਤੇ ਰੱਦ ਕੀਤੇ ਗਏ। ਜੇ ਤੁਹਾਡਾ ਲੌਗ ਚੁੱਪ ਹੈ, ਤਾਂ ਇੱਕ ਕੋਸ਼ਿਸ਼ ਲਈ ਪਲੱਗਇਨ ਦਾ ਡੀਬੱਗ ਪੱਧਰ ਵਧਾਓ ਅਤੇ ਪਿੱਛੋਂ ਘਟਾ ਦਿਓ, ਕਿਉਂਕਿ ਵਿਸਥਾਰਤ ਆਉਟਪੁੱਟ journal ਨੂੰ ਤੇਜ਼ੀ ਨਾਲ ਭਰ ਦਿੰਦੀ ਹੈ।

ਪੜਾਅ 1 ਅਤੇ ਪੜਾਅ 2 ਵੱਖਰੇ ਦਾਅ ਹਨ

IKEv1 ਦੋ ਵਾਰ ਗੱਲਬਾਤ ਕਰਦਾ ਹੈ। ਮੁੱਖ ਮੋਡ IKE ਸੁਰੱਖਿਆ ਸਹਿਯੋਗ ਐਨਕ੍ਰਿਪਸ਼ਨ ਐਲਗੋਰਿਦਮ, ਅਖੰਡਤਾ ਐਲਗੋਰਿਦਮ, Diffie-Hellman ਸਮੂਹ ਅਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਧੀ ਤੋਂ ਬਣਾਉਂਦਾ ਹੈ। ਫਿਰ ਤੇਜ਼ ਮੋਡ ਉਹ ESP ਸਹਿਯੋਗ ਬਣਾਉਂਦਾ ਹੈ ਜੋ L2TP ਢੋਵੇਗਾ। ਸਰਵਰ ਪਹਿਲੇ ਨੂੰ ਸਵੀਕਾਰ ਕਰਨ ਅਤੇ ਦੂਜੇ ਨੂੰ ਰੱਦ ਕਰਨ ਲਈ ਆਜ਼ਾਦ ਹੈ, ਇਸ ਲਈ ਅੱਧਾ ਸਹੀ ਪ੍ਰੋਫਾਈਲ ਤੁਹਾਡੀ ਉਮੀਦ ਨਾਲੋਂ ਦੇਰ ਨਾਲ ਅਸਫਲ ਹੁੰਦਾ ਹੈ ਅਤੇ ਕਿਸੇ ਹੋਰ ਬੱਗ ਵਾਂਗ ਦਿਸਦਾ ਹੈ।

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

ਵਿਸਮੈ ਚਿੰਨ੍ਹ strongSwan ਸਿੰਟੈਕਸ ਵਿੱਚ ਸਖ਼ਤ ਐਂਟਰੀ ਹੈ: ਸਿਰਫ਼ ਇਹੀ ਸੁਮੇਲ ਪੇਸ਼ ਕਰੋ, ਹੋਰ ਕੁਝ ਨਹੀਂ। ਇਸ ਦੇ ਬਿਨਾਂ ਐਂਟਰੀ ਫਾਲਬੈਕ ਸੂਚੀ ਵਿੱਚ ਸ਼ਾਮਲ ਹੋ ਜਾਂਦੀ ਹੈ, ਜੋ ਸਾਹਮਣੇ ਵਾਲਾ ਆਧੁਨਿਕ ਹੋਣ ’ਤੇ ਚੰਗਾ ਹੈ ਅਤੇ ਇੱਕੋ ਸਖ਼ਤ ਕੋਡ ਕੀਤੀ ਨੀਤੀ ਵਾਲੇ ਯੰਤਰ ਹੋਣ ’ਤੇ ਨੁਕਸਾਨਦੇਹ ਹੈ। ਉੱਪਰਲੀ ਜੋੜੀ ਨੂੰ ਰੂਪ ਦਾ ਉਦਾਹਰਣ ਮੰਨੋ, ਅੱਜ ਤੁਸੀਂ ਜੋ ਵੀ ਬਣਾ ਰਹੇ ਹੋ ਉਸ ਲਈ ਸਿਫ਼ਾਰਸ਼ ਨਹੀਂ।

ਇੱਕ ਖੇਤਰ ਬਦਲੋ, ਫਿਰ ਪਰੀਖਿਆ ਦੁਹਰਾਓ

ਮੌਜੂਦਾ ਪਲੱਗਇਨ ਉੱਤੇ ਸਭ ਤੋਂ ਤੇਜ਼ ਪਹਿਲੀ ਪਰੀਖਿਆ ਦੋਵੇਂ ਪ੍ਰਸਤਾਵ ਖੇਤਰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਖਾਲੀ ਕਰਕੇ ਦੁਬਾਰਾ ਕਨੈਕਟ ਕਰਨਾ ਹੈ, ਕਿਉਂਕਿ ਦਿੱਤੀ ਗਈ ਡਿਫਾਲਟ ਸੂਚੀ ਵਿੱਚ ਆਮ Windows ਅਤੇ Apple ਸੁਮੇਲ ਪਹਿਲਾਂ ਹੀ ਹਨ। ਪੁਰਾਣੇ ਪਲੱਗਇਨ ਉੱਤੇ ਉਨ੍ਹਾਂ ਨੂੰ ਖਾਲੀ ਕਰਨ ਨਾਲ ਕੰਟਰੋਲ ਉਸ ਡੈਮਨ ਕੋਲ ਵਾਪਸ ਜਾਂਦਾ ਹੈ ਜਿਸਨੇ ਤੁਹਾਡੇ ਸਰਵਰ ਦੀ ਜ਼ਿਦ ਵਾਲਾ ਐਲਗੋਰਿਦਮ ਸ਼ਾਇਦ ਛੱਡ ਦਿੱਤਾ ਹੋਵੇ, ਅਤੇ ਅਸਫਲਤਾ ਹੋਰ ਮਾੜੀ ਹੋ ਜਾਂਦੀ ਹੈ।

ਜੇ ਖਾਲੀ ਕਰਨ ਨਾਲ ਮਦਦ ਨਾ ਮਿਲੇ, ਤਾਂ ਤੁਹਾਡਾ ਸਰਵਰ ਜੋ ਸਖ਼ਤ ਜੋੜੀ ਦਸਤਾਵੇਜ਼ ਕਰਦਾ ਹੈ ਉਹ ਇੱਕ ਵਾਰ ਵਿੱਚ ਇੱਕ ਪੜਾਅ ਸੈੱਟ ਕਰੋ। ਪੜਾਅ 1 ਬਦਲੋ, ਦੁਬਾਰਾ ਕਨੈਕਟ ਕਰੋ, ਅਤੇ ਪੜਾਅ 2 ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਲੌਗ ਪੜ੍ਹੋ। ਜਦੋਂ ਸੁਮੇਲ ਆਖ਼ਰ ਕੰਮ ਕਰੇ, ਤਾਂ ਇਸਨੂੰ ਸਰਵਰ ਮਾਡਲ ਅਤੇ ਪਲੱਗਇਨ ਸੰਸਕਰਣ ਦੇ ਕੋਲ ਲਿਖ ਲਓ, ਕਿਉਂਕਿ ਡਿਫਾਲਟ ਦੁਬਾਰਾ ਬਦਲਣਗੇ ਅਤੇ ਉਹੀ ਨੋਟ ਅਗਲੇ ਅਪਗ੍ਰੇਡ ਨੂੰ ਪੰਜ ਮਿੰਟ ਦੀ ਜਾਂਚ ਵਿੱਚ ਬਦਲਦਾ ਹੈ।