L2TP හි NO_PROPOSAL_CHOSEN? පළමුව ගේට්වේ ස්කෑන් කරන්න

පරිශීලක නාමය ඉල්ලීමට පෙර අසාර්ථක වන L2TP/IPsec සේවාලාභියා කිසිදා අදියර 1 සම්බන්ධයෙන් එකඟ වී නැත. සයිෆර් තන්තු අලවනු වෙනුවට ගේට්වේයේ යෝජනා කුලකය ස්කෑන් කරන්න.

පරිශීලක නාමය ඉල්ලීම කිසිදා නොපෙනේ, සහ සේවාලාභියා NO_PROPOSAL_CHOSEN වාර්තා කරයි. එම මොහොතේ අක්තපත්‍ර සහ කලින් බෙදාගත් යතුර අදාළ නොවේ, මන්ද දෙපසම අදියර 1 ආරක්ෂා කරන ආකාරය ගැන එකඟ වී නැත. බොහෝ දෙනා අන්තර්ජාලයෙන් සොයාගත් සයිෆර් තන්තුවක් අලවා ප්‍රතිචාර දක්වති. ගේට්වේය ස්කෑන් කිරීම එම ප්‍රශ්නයට සාක්ෂි සමඟ පිළිතුරු දෙන අතර ආසන්න වශයෙන් එම කාලයම ගනී.

පණිවිඩය කුමක් බැහැර කරයිද

ප්‍රතික්ෂේපය සිදුවන්නේ ප්‍රධාන ප්‍රකාරයේ, ඕනෑම L2TP හෝ PPP හුවමාරුවකට පෙර, එබැවින් උමඟ සහ පරිශීලක දත්ත සමුදාය අසා නැත. අදියර 1 සංකේතනය, අඛණ්ඩතාව සහ Diffie-Hellman කණ්ඩායමක් ගැන සාකච්ඡා කරයි. අදියර 2 දත්ත සඳහා ESP යෝජනාව ගැන සාකච්ඡා කරයි. අදියර 1 හි අසාර්ථකත්වය අදියර 2 හි PFS සැකසුමක් වෙනස් කිරීමෙන් නිවැරදි කළ නොහැක, සහ සම්පූර්ණ වූ IKE සම්බන්ධතාවය ESP යෝජනාව ගැළපෙන බව ඔප්පු නොකරයි.

වාක්‍ය වින්‍යාසය සංස්කරණය කිරීමට පෙර backend සටහන් කරන්න: ipsec --version. libreswan සහ strongSwan එකම ඇල්ගොරිතම සඳහා යෝජනාවේ වෙනස් අක්ෂර වින්‍යාස ස්වීකරණය කරයි.

පසුව ප්‍රතික්ෂේපය සන්දර්භය තුළ මෙය සමඟ කියවන්න: journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

ගේට්වේයේ පරිවර්තන කුලකය ස්කෑන් කරන්න

ස්කෑනරය ගේට්වේයෙන් කෙලින්ම අසන්නේ එය කුමන පරිවර්තන ගැන සාකච්ඡා කරන්නේද කියාය. පළමුව ස්ථානීය IPsec සේවාව නවත්වන්න, පරීක්ෂාව ඔබේම සේවාලාභියා සමඟ තරඟ නොවන පරිදි, පසුව SA පේළි කියවන්න. ලැයිස්තුව අනෙක් පස ගැන සාක්ෂියක් ලෙස සලකන්න, සියල්ල එකවර සක්‍රීය කළ යුතු මෙනුවක් ලෙස නොව.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

පැරණි උපාංග බොහෝ විට 3DES, SHA1 සහ MODP1024 යෝජනා කරයි, මන්ද එවා නිෂ්පාදනය නැව්ගත කළ විට පෙරනිමි අගයන් වූ අතර කිසිවෙකු ඒවා නැවත සමාලෝචනය නොකළේය. ස්කෑනයේ අමු ප්‍රතිදානය තබා ගන්න, මන්ද එදින අනෙක් පස යෝජනා කළ දේ පිළිබඳ එකම වාර්තාව එයයි. එය ලබා ගත හැකි ශක්තිමත්ම අතිච්ඡාදනය නම්, නිවැරදි උත්කර්ෂණය ගේට්වේයේ හිමිකරු වෙතය, සැමට දුර්වල සංකේතනය නැවත සක්‍රීය කරන සේවාලාභී වින්‍යාසයක් වෙත නොවේ.

ආරක්ෂාව අක්‍රීය නොකර අතිච්ඡාදනය ගළපන්න

ස්කෑනයේ සහ ඔබේ ප්‍රතිපත්තියේ දෙකෙහිම දිස්වන පරිවර්තන පමණක් ඇතුළත් කරන්න. පහත උදාහරණය අදියර 1 හි 3DES, SHA1 සහ MODP1024 යෝජනා කරන ගේට්වේයක් පිළිබිඹු කරයි. backend පිළිබඳ අවවාදය සැලකිල්ලට ගන්න: libreswan 4.x modp1024 කණ්ඩායම සම්පාදනය නොකරයි, එබැවින් මෙය strongSwan හෝ DH2 සහාය ඇති libreswan ගොඩනැගීමකට අදාළ වේ. සේවාලාභියා අසාර්ථක යැයි නිගමනය කිරීමට පෙර අනුවාදය තහවුරු කරන්න.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

අවසානයේ ඇති විස්මයාර්ථ ලකුණ එක් යෝජනාවක් සවි කරයි. පරීක්ෂණයක් හුදකලා කිරීමට එය භාවිත කරන්න, පසුව ඉවත් කරන්න, එවිට ගේට්වේයට පසුව වඩා ශක්තිමත් දෙයක් ගැන සාකච්ඡා කළ හැක.

නැවත උත්සාහ කිරීමට පෙර ඩේමන් සහ වරාය පරීක්ෂා කරන්න

NetworkManager-l2tp තමන්ගේම xl2tpd අවස්ථාවක් ආරම්භ කරයි. පද්ධති සේවාව දැනටමත් UDP 1701 හිමි නම්, සේවාලාභියා තාවකාලික මූල වරායකට යයි, එය RFC 3193 අවසර දෙන අතර සමහර සේවාදායක නිහඬව ඉවත දමයි. ඊළඟ උත්සාහයට පෙර සොකට් හිමිකරු පරීක්ෂා කරන්න.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

පැරණි ජනනය කළ රහස් තවත් නිහඬ හේතුවකි. මෙහි ඇති ගොනු /etc/ipsec.d/ පැරණි සම්බන්ධතාවයක් සඳහා නම් කළ ගොනු ඒවා නිර්මාණය කළ පැතිකඩට වඩා දිගු කල් පවතින්න පුළුවන, එබැවින් කිසිවක් යොමු නොකරන ගොනු ඉවත් කර නැවත උත්සාහ කරන්න.

අවසාන වශයෙන්, උපදෙස පැමිණියේ කොහෙන්දැයි පරීක්ෂා කරන්න. ipsec.conf IKEv1 XAuth සඳහා ලියන ලද ගොනුවක් වෙනස් VPN වර්ගයක් විස්තර කරයි, සහ L2TP පැතිකඩක එහි යෝජනාව පමණක් වැරදි පේළිය නොවේ. ඔබ ඇතුළත් කළ පරිවර්තන කුලකය පැතිකඩ අසල සටහන් කරන්න, එවිට ඊළඟ පුද්ගලයා පරීක්ෂාව නැවත නොකරනු ඇත.

අදාළ ලිපි