آیا د Ubuntu تازه کول L2TP/IPsec مات کړ؟ د IKEv1 وړاندیزونه پرتله کړئ

اړیکه پنجشنبه کار کوله، تازه کول جمعه چل شو، او دوشنبه کاروونکی په “connecting” ګرځي او تسلیمېږي۔ هماغه لپ ټاپ، هماغه سرور، هماغه حساب، هماغه مخکې شریک شوی کیلي۔ په پروفایل کې هېڅ شی سم نشو، نو ښکاره شکمن، پټنوم او firewall، ستاسو وخت ضایع کوي۔

هغه څه چې بدل شول، د هغو بدلونونو لړلیک دی چې ستاسو ماشین یې وړاندې کولو ته چمتو دی۔ په Ubuntu کې کارېدونکي دواړه IPsec سټکونه، strongSwan او Libreswan، هغه الګوریتمونه لرې کوي چې نور یې خوندي نه ګڼي، او د هغوی مخې ته NetworkManager پلګین خپل لړلیک لري، چې په بېل مهالوېش کې ځي۔ د 3DES، SHA1 او 1024 بټ Diffie-Hellman ګروپ سره ټینګ شوی سرور کېدای شي په پای کې هغه څه ونه اوري چې مني یې۔

تازه کولو په رښتیا څه بدل کړل

IKEv1 وړاندیز ته دوه طبقې خواړه ورکوي۔ ډیمون یو کمپایل شوی تلواله وړاندیز سیټ وړاندې کوي، او L2TP پلګین یا پر هغه تکیه کوي یا خپل لړلیک ورکوي۔ د NetworkManager-l2tp 1.2.16 مخکې پلګین پر هغه تکیه کوله، نو ستاسو وړاندیز هغه څه وو چې نصب شوي ډیمون یې مناسب ګاڼه۔ له 1.2.16 وروسته پلګین یو مستند لړلیک لېږي چې د Windows او Apple کاروونکو پر بنسټ جوړ شوی، او هغه لړلیک له زاړه تلواله پراخ دی خو نور د قطار په سر کې هر زوړ ترکیب نه لري۔

دا جلاوالی د ناکامۍ هغه بڼه تشریح کوي چې خلک یې ګډوډونکی ګڼي: د یوه Ubuntu خپرېدونکي دوه ماشینونه کېدای شي بېل ډول چلند وکړي ځکه چې یو کې د توزیع بنډل دی او بل کې backport، او د خطا راپور کې پر دواړو ډیمون نسخه یو ډول ښکاري۔ مخکې له دې چې پایله وکړئ چې تازه کولو هېڅ اړوند شی نه دی بدل کړی، د پلګین نسخه وګورئ، نه یوازې د ډیمون نسخه۔

په هماغه سیمه کې یو کوچنی تله شته۔ دواړه ډیمونونه د بیضوي منحني Diffie-Hellman ګروپونه بېل ډول لیکي، یو ecp384 لیکي او بل ecp_384۔ غلط املا په Advanced خبرو اترو کې پېسټ کړئ او ډیمون به هغه تنظیم د نه تحلیل وړ په توګه رد کړي، چې په لاګ کې د ترتیب د ټایپ غلطۍ پر ځای د خبرو اترو ستونزه ښکاري۔

مخکې له دې چې څه بدل کړئ، ناکامي ولولئ

له دې پیل وکړئ چې کوم backend چلوئ، ځکه ځواب هم syntax او هم د لاګ ځای ټاکي۔

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

بیا پخپله تبادله ولولئ۔ په strongSwan کې ډیمون په اوسني خپرېدونکي کې journal ته او په زاړه کې /var/log/syslog ته لیکي، او په زړه پورې برخه هغه وړاندیز دی چې لېږي، نه وروستی کرښه۔ تاسو د دې عبارت په لټه کې یاست چې هېڅ سمون خوړونکی وړاندیز نشته، چې د الګوریتم ستونزه ده؛ د تصدیق ناکامي، چې کیلي یا حساب ته اشاره کوي؛ یا ساده timeout، چې رسېدو ته اشاره کوي۔

دا درې پایلې ډېری وختونه د یوې نښې په توګه ګڼل کېږي۔ خالي ډیمون لاګ سره timeout معنا دا ده چې بنډلونه نه رسېږي۔ د وړاندیز ردېدل معنا دا ده چې هغوی ورسېدل او رد شول۔ که ستاسو لاګ غلی دی، د یوې هڅې لپاره د پلګین ډیبګ کچه پورته کړئ او بیا یې ښکته کړئ، ځکه تفصیلي وتنه journal ژر ډکوي۔

1 پړاو او 2 پړاو جلا شرطونه دي

IKEv1 دوه ځله خبرې اترې کوي۔ اصلي حالت IKE امنیتي ټولنه د کوډ کولو الګوریتم، بشپړتیا الګوریتم، Diffie-Hellman ګروپ او د تصدیق له طریقې جوړوي۔ بیا چټک حالت هغه ESP ټولنه جوړوي چې L2TP به یوسي۔ سرور آزاد دی چې لومړی ومني او دویم رد کړي، نو نیم سم پروفایل ستاسو له تمې وروسته ناکامېږي او د بلې خطا په څېر ښکاري۔

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

د تعجب نښه په strongSwan syntax کې کلک نوملیکنه ده: یوازې دا یو ترکیب وړاندې کړه، بل هېڅ نه۔ پرته له دې نوملړ بدیل لړلیک ته ورځي، چې کله سیال عصري وي ښه دی او کله یوازې یوه سخته کوډ شوې تګلاره لرونکی وسیله وي زیانمن دی۔ پورتنی جوړه د بڼې بېلګه وګڼئ، نه د هغه څه لپاره سپارښتنه چې نن یې جوړوئ۔

یو ډګر بدل کړئ، بیا ازموینه تکرار کړئ

په اوسني پلګین کې تر ټولو ژر لومړۍ ازموینه دا ده چې دواړه وړاندیز ډګرونه بشپړ خالي کړئ او بیا وصل شئ، ځکه ورکړل شوی تلواله لړلیک لا دمخه عادي Windows او Apple ترکیبونه لري۔ په زاړه پلګین کې د هغوی خالي کول کنټرول هغه ډیمون ته بېرته ورکوي چې کېدای شي هغه الګوریتم پرېښی وي چې ستاسو سرور پر ټینګار کوي، او ناکامي نوره هم خرابیږي۔

که خالي کول مرسته ونه کړي، هغه کلکه جوړه چې ستاسو سرور مستند کوي، یو په یو پړاو تنظیم کړئ۔ 1 پړاو بدل کړئ، بیا وصل شئ، او مخکې له دې چې 2 پړاو ته لاس وروړئ لاګ ولولئ۔ کله چې ترکیب په پای کې کار وکړ، هغه د سرور ماډل او د پلګین نسخې ترڅنګ ولیکئ، ځکه تلواله ارزښتونه به بیا وخوځېږي او هماغه یادښت بل تازه کول پنځه دقیقې څېړنه ګرځوي۔