NO_PROPOSAL_CHOSEN pri L2TP? Najprej preglejte prehod

Odjemalec L2TP/IPsec, ki spodleti pred pozivom za uporabniško ime, se nikoli ni dogovoril o fazi 1. Preglejte nabor predlogov prehoda, namesto da bi prilepili šifrirne nize.

Poziv za uporabniško ime se nikoli ne pojavi, odjemalec pa sporoči NO_PROPOSAL_CHOSEN. Takrat so poverilnice in vnaprej deljeni ključ nepomembni, ker se oba konca nista dogovorila, kako zaščititi fazo 1. Večina ljudi se odzove tako, da prilepi šifrirni niz, ki so ga našli na spletu. Pregled prehoda odgovori na isto vprašanje z dokazi in traja približno enako dolgo.

Kaj sporočilo izključuje

Zavrnitev se zgodi v glavnem načinu, pred kakršno koli izmenjavo L2TP ali PPP, zato tunel in uporabniška zbirka nista bila vprašana. Faza 1 pogaja o šifriranju, celovitosti in skupini Diffie-Hellman. Faza 2 pogaja o predlogu ESP za podatke. Napake v fazi 1 ni mogoče odpraviti s spremembo nastavitve PFS v fazi 2, in dokončana pridružitev IKE ne dokazuje, da predlog ESP ustreza.

Pred urejanjem skladnje zabeležite backend: ipsec --version. libreswan in strongSwan sprejemata različne zapise predloga za iste algoritme.

Nato preberite zavrnitev v kontekstu z journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Preglejte prehod glede njegovega nabora transformacij

Pregledovalnik prehod neposredno vpraša, o katerih transformacijah se bo pogajal. Najprej ustavite lokalno storitev IPsec, da preizkus ne tekmuje z vašim odjemalcem, nato preberite vrstice SA. Seznam obravnavajte kot dokaz o drugi strani, ne kot meni, ki ga je treba vklopiti v celoti.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Starejše naprave pogosto ponujajo 3DES, SHA1 in MODP1024, ker so bile to privzete vrednosti ob dobavi izdelka in nihče jih ni pregledal. Shranite surov izpis pregleda, saj je edini zapis o tem, kaj je druga stran ponudila tistega dne. Če je to najmočnejše razpoložljivo prekrivanje, je prava eskalacija k lastniku prehoda, ne k odjemalčevi konfiguraciji, ki vsem znova vklopi šibko kriptografijo.

Ujemite prekrivanje, ne da bi onemogočili varnost

Vnesite samo transformacije, ki se pojavijo v pregledu in v vaši politiki. Spodnji primer zrcali prehod, ki v fazi 1 ponuja 3DES, SHA1 in MODP1024. Upoštevajte pridržek glede backend: libreswan 4.x ne prevede skupine modp1024, zato to velja za strongSwan ali za gradnjo libreswana s podporo DH2. Preverite različico, preden sklepate, da je odjemalec pokvarjen.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Klicaj na koncu pripne en sam predlog. Uporabite ga za izolacijo preizkusa, nato pa ga odstranite, da bo prehod pozneje lahko izpogajal kaj močnejšega.

Pred ponovnim poskusom preverite demon in vrata

NetworkManager-l2tp zažene svojo instanco xl2tpd. Če sistemska storitev že ima UDP 1701, odjemalec preide na efemerna izvorna vrata, kar RFC 3193 dovoljuje in nekateri strežniki tiho zavržejo. Pred naslednjim poskusom preverite lastnika vtičnice.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Zastarele ustvarjene skrivnosti so še en tih vzrok. Datoteke v /etc/ipsec.d/ poimenovane po stari povezavi lahko preživijo profil, ki jih je ustvaril, zato odstranite tiste, na katere nič ne kaže, in poskusite znova.

Nazadnje preverite, od kod prihaja nasvet. Datoteka ipsec.conf napisana za IKEv1 XAuth opisuje drugo vrsto VPN in njen predlog ni edina vrstica, ki bo v profilu L2TP napačna. Zapišite nabor transformacij, ki ste ga vnesli, ob profilu, da naslednja oseba ne bo ponavljala pregleda.

Sorodni članki