L2TP: sinjal fatal 15, NO_PROPOSAL_CHOSEN dhe modp1024 që mungon

Lidhja ngec, klienti del dhe rreshti i fundit në ekran është death_handler: Fatal signal 15 received. Ai rresht raporton një ndërprerje, jo një shkak. Një rresht më lart në regjistrin IPsec pothuajse gjithmonë ka NO_PROPOSAL_CHOSEN, dhe çifti tregon fazën 2 të shkëmbimit, ku palët krahasojnë zgjedhjet e kriptimit dhe hash-it dhe ndalen kur nuk kanë asgjë të përbashkët. Kredencialet nuk janë dërguar ende në atë fazë, kështu që ritipizimi i fjalëkalimit nuk mund ta ndryshojë rezultatin.

Zakonisht dy gjëra e zbrazin atë kryqëzim në një klient Linux. Demoni lokal mund të mos e zbatojë më grupin Diffie-Hellman që kërkon profili, ose profili mund të mbajë një propozim të fazës 1 në një fushë të fazës 2. Të dyja lënë gjurmë në regjistër, dhe asnjëra nuk është problem llogarie.

Çfarë thonë në të vërtetë dy mesazhet

IKE negocion në disa raunde. Faza 1 ndërton një kanal të mbrojtur dhe zgjedh algoritmet e veta; faza 2, SA fëmijë, transporton trafikun nën një grup të veçantë. NO_PROPOSAL_CHOSEN është njoftimi që përgjigjësi kthen kur asnjë nga kombinimet e ofruara nuk është i pranueshëm, dhe shfaqet si [ HASH N(NO_PROP) ] brenda një shkëmbimi INFORMATIONAL.

Sinjali 15 është një ngjarje tjetër: diçka i tha procesit lokal të ndalet dhe trajtuesi e regjistroi atë. Kur të dy rreshtat shfaqen bashkë, rendi është shkakësor, së pari refuzimi dhe pastaj fikja.

Lexoni negocimin përpara se të prekni kredencialet

Ngrini nivelin e regjistrit aty ku shkruan demoni, pastaj rilidhuni duke vëzhguar daljen. Në një host me NetworkManager shtojca L2TP e kalon atë nivel te backend-i, dhe mesazhet përfundojnë në journal ose në skedarin klasik syslog sipas shpërndarjes. Secili prej këtyre do të tregojë shkëmbimin: journalctl -f -u NetworkManager | grep -Ei 'pluto|charon|no_prop|proposal' ose tail -f /var/log/syslog | grep -Ei 'pluto|charon|ike'.

Një rresht që përmend pluto vjen nga libreswan, charon nga strongSwan, dhe të dy përshkruajnë të njëjtën gjendje me fjalë të ndryshme. Forma që ia vlen të kërkohet është ajo që emërton grupin që mungon, për shembull algorithm 'modp1024' is not supported, sepse e kthen një dështim të papërcaktuar në një të saktë.

Ku shkoi modp1024

Grupi 2 Diffie-Hellman është aq i dobët sa disa shpërndarje ndaluan kompilimin e tij në libreswan nga 3.30 e tutje. Atëherë një profil i shkruar vite më parë, ose i marrë nga një udhëzues portë që liston vetëm aes128-sha1-modp1024, i kërkon demonit lokal diçka që ai nuk mund ta kryejë fare. Ndërtimet më të reja të NetworkManager-l2tp e bëjnë atë rezultat më të mundshëm: nga 1.2.16 zëvendësojnë grupin me propozime në stilin Windows 10 dhe iOS dhe e hedhin modp1024 sapo zbulohet libreswan. Pala tjetër shpesh është e pafajshme dhe vazhdon të ofrojë pikërisht grupin që konfiguruat.

Është kjo asimetri që e bën dështimin të duket i rastësishëm. Një klient më i vjetër lidhet, i njëjti profil në një laptop të përditësuar nuk lidhet, dhe konfigurimi i serverit nuk lëvizi kurrë. Dëmin e shkakton rrjedhja e versioneve.

Dy riparime me shtrirje të ndryshme

Riparimi i lirë është të ndaloni kodimin e algoritmeve me dorë. Pastroni të dy fushat e propozimeve në editor dhe lërini shtojcën të zgjedhë një grup që e pranon pala e largët; nëse porta mbështet grupe moderne, negocimi përfundon pa punë shtesë.

Riparimi i dytë e mban një portë të vjetër të arritshme duke instaluar strongSwan, paketat e të cilit në shumicën e shpërndarjeve ende zbatojnë grupin 2. Ky është një ndërrim demoni, pra ka kosto: verifikoni nëse tunelet e tjera në host varen nga konfigurimi i libreswan përpara se ta hiqni, dhe prisni refuzime SELinux midis NetworkManager dhe shtojcës strongSwan në Fedora. Ato refuzime shfaqen në regjistrin e auditimit dhe jo në gjurmën IKE, prandaj një tunel mund të duket i prishur pikërisht pas një instalimi të suksesshëm. Rendi që funksionon është së pari dnf install strongswan, pastaj rpm -e libreswan.

Vargjet e propozimeve që përputhen, dhe kurthet përreth

Kur fushat duhet të plotësohen me dorë, faza 1 dhe faza 2 marrin vlera të ndryshme. Një çift i njohur se funksionon kundër një pale në stilin Meraki ofron aes128-sha1-modp1024 në fazën 1 me 3des-sha1-modp1024 pas tij, të dyja të mbyllura nga një pikëçuditëse që e bën grupin strikt, kështu që dërgohen vetëm ato propozime.

Faza 2 më pas ngushtohet në aes128-sha1 dhe 3des-sha1 me të njëjtën shenjë strikte dhe pa asnjë prapashtesë Diffie-Hellman. Një rresht i fazës 2 që mban -modp1024 është një vlerë e fazës 1 në fushën e gabuar, dhe përgjigjësi e refuzon në çdo provë. Kopjoni atë rresht në një profil të dytë dhe profili i dytë dështon në të njëjtën mënyrë, dhe kështu një gabim shtypi bëhet incident për të gjithë flotën.

Defektet e tjera mbajnë të njëjtën dritare pa qenë mospërputhje propozimesh. Në KDE lloji L2TP mund të listohet me shtojcën të instaluar ndërsa çdo lidhje vdes menjëherë, sepse editori i lidhjeve dhe ndihmësit e kohës së ekzekutimit vijnë si paketa të veçanta. Hostet pa ekran mund të ripërdorin një profil nga një desktop që funksionon: kopjojeni nga /etc/NetworkManager/system-connections/, vendosni modalitetin në 600, pastaj ekzekutoni nmcli con reload. Ngrini atë me nmcli con up id work-l2tp, pasi forma e zhveshur kërkon një UUID, dhe hiqni çdo zë ifname të vjetruar, përndryshe menaxheri përgjigjet Could not find source connection ndërsa gjithçka tjetër është e saktë.

Një çelës i ndarë paraprakisht mund të ruhet si tekst i qartë ose si 0s i ndjekur nga base64; të dyja format funksionojnë, por vlera duhet të përputhet me portën bajt për bajt, përfshirë hapësirat në fund që kopjuat bashkë me të.