Ma jebisay cusboonaysiinta Ubuntu L2TP/IPsec? Isbarbardhig soo jeedinta IKEv1

Xiriirku wuxuu shaqaynayay Khamiista, cusboonaysiintu waxay socotay Jimcaha, oo Isniinta macmiilku wuxuu ku wareegayaa “connecting” oo wuu iska dhiibaa. Isla laptop-ka, isla server-ka, isla akoonka, isla furaha hore loo wadaagay. Waxba lagama beddelin profile-ka, taasina waa sababta tuhmanayaasha muuqda, furaha sirta ah iyo firewall-ka, waqtigaaga u lumiyaan.

Waxa isbeddelay waa liiska isbeddellada ay mishiinkaagu diyaar u yahay inuu bixiyo. Labada IPsec stack ee Ubuntu lagu isticmaalo, strongSwan iyo Libreswan, waxay gooyaan algorithms-ka aanay hadda u arkin mid ammaan ah, iyo NetworkManager plugin-ka hortooda jooga wuxuu leeyahay liis u gaar ah, kaas oo ku socda jadwal kale. Server ku dheggan 3DES, SHA1 iyo koox Diffie-Hellman 1024 bit ah wuxuu ugu dambayn laga yaabaa inuusan maqal wax uu aqbalo.

Waxa cusboonaysiintu dhab ahaan beddeshay

Laba lakab ayaa quudiya soo jeedinta IKEv1. Daemon-ku wuxuu keenaa tiro soo jeedin oo caadi ah oo lagu daray, iyo L2TP plugin-ku wuxuu ku tiirsanaadaa ama wuxuu bixiyaa liis u gaar ah. Ka hor NetworkManager-l2tp 1.2.16 plugin-ku wuu ku tiirsanaa, sidaas darteed soo jeedintaadu waxay ahayd waxa daemon-ka la rakibay u arkay mid macquul ah. Laga bilaabo 1.2.16 plugin-ku wuxuu diraa liis la diiwaangeliyay oo lagu qaabeeyay macmiillada Windows iyo Apple, liiskaasna wuu ka ballaaran yahay kii hore laakiin hadda kuma jiro isku darka hore ee safka hore.

Kala qaybintaas waxay sharraxdaa qaab guuldarro oo dadku u arkaan mid jahwareer leh: laba mishiin oo isla daabacaadda Ubuntu ah ayaa si kala duwan u dhaqmi kara sababtoo ah mid wuxuu leeyahay xirmada qaybinta iyo midka kalena backport, iyo nooca daemon-ka labadaba wuxuu isku mid uga muuqdaa warbixinta khaladka. Hubi nooca plugin-ka, ma aha oo kaliya nooca daemon-ka, ka hor inta aadan soo gabagabeyn in cusboonaysiintu wax muhiim ah aanay beddelin.

Waxaa jira dabin yar oo isla aaggaas ah. Labada daemon waxay u qoraan kooxaha Diffie-Hellman qalloocan si kala duwan, mid wuxuu qoraa ecp384 midka kalena ecp_384. Ku dheji qoraalka khaldan dialog-ga Advanced oo daemon-ku wuxuu diidi doonaa dejinta isagoo u arka mid aan la falanqayn karin, taas oo log-ga uga muuqata dhibaato wada-hadal halkii ay ka ahaan lahayd khalad teeb oo ku jira habaynta.

Akhri guuldarrada ka hor inta aadan wax beddelin

Ka bilow backend-ka aad socodsiinayso, sababtoo ah jawaabtu waxay go'aamisaa syntax-ka iyo goobta log-ga labadaba.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

Kadibna akhri isweydaarsiga laftiisa. strongSwan daemon-ku wuxuu wax ku qoraa journal-ka daabacaadda hadda jirta iyo /var/log/syslog midda hore, qaybta xiisaha lehna waa soo jeedinta uu diraayo, ma aha sadarka ugu dambeeya. Waxaad raadineysaa odhan la mid ah in aanay jirin soo jeedin u dhigma, taas oo ah dhibaato algorithm; guuldarro aqoonsi, taas oo tilmaamaysa furaha ama akoonka; ama waqti-dhaaf caadi ah, kaas oo tilmaamaya gaaritaanka.

Saddexdan natiijo ayaa badanaa loo arkaa calaamad keliya. Waqti-dhaaf log daemon madhan leh waxay ka dhigan tahay in baakadaha aanay imanayn. Diidmada soo jeedinta waxay ka dhigan tahay inay yimaadeen oo la diiday. Haddii log-gaagu aamusan yahay, kordhi heerka debug-ga plugin-ka hal isku day oo kadib hoos u dhig, sababtoo ah soo-saarista faahfaahsan waxay journal si degdeg ah u buuxisaa.

Wejiga 1 iyo wejiga 2 waa sharadoyin kala duwan

IKEv1 laba jeer ayuu gorgortamaa. Habka ugu weyn wuxuu ka dhisaa isku xirka amniga IKE algorithm sir ah, algorithm daacadnimo, koox Diffie-Hellman iyo hab aqoonsi. Habka degdegga ah kadib wuxuu dhisaa isku xirka ESP ee qaadi doona L2TP. Serverku wuu xor u yahay inuu aqbalo kan hore oo diido kan labaad, sidaas darteed profile badh qumman wuxuu ku guuldareystaa waqti ka dib markaad filayso oo wuxuu u eg yahay bug kale.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

Calaamadda yaabka waa syntax strongSwan ee gelitaan adag: soo jeedi isku darkaas keliya oo wax kale ma jiro. La'aanteed gelitaanku wuxuu ku biiraa liis kayd ah, taas oo fiican marka dhinaca kale casri yahay oo waxyeello leh marka uu yahay qalab leh hal siyaasad si adag loo codeeyay. U qaado lammaanaha kore inuu yahay tusaale qaabka, ma aha talo wax kasta oo aad maanta dhisayso.

Beddel hal goob, kadib ku celi tijaabada

Plugin-ka hadda jira, tijaabada ugu degdegga ah ee ugu horreysa waa in si buuxda loo nadiifiyo labada goobood ee soo jeedinta oo dib loo xiro, sababtoo ah liiska caadiga ah ee la bixiyay horey ayuu ugu jiraa isku darka caadiga ah ee Windows iyo Apple. Plugin-ka hore, nadiifintooda waxay kontoroolka ku celisaa daemon laga yaabo inuu tuuray algorithm-ka uu serverkaagu ku adkaysto, guuldarraduna way ka sii dartaa.

Haddii nadiifintu aanay caawin, deji lammaanaha adag ee serverkaagu diiwaangeliyo, hal weji markiiba. Beddel wejiga 1, dib u xir, oo akhri log-ga ka hor inta aadan taaban wejiga 2. Marka isku darku ugu dambayn shaqeeyo, ku qor meel u dhow modelka serverka iyo nooca plugin-ka, sababtoo ah caadada ayaa mar kale dhaqaaqi doonta oo qoraalkaas ayaa cusboonaysiinta xigta u beddela hubin shan daqiiqo ah.