L2TP: фатална грешка 15, NO_PROPOSAL_CHOSEN и недостајући modp1024

Веза вам се замрзне, клијент изађе, а последња линија на екрану је death_handler: Fatal signal 15 received. Та линија пријављује прекид, а не узрок. Линију изнад у IPsec запису готово увек садржи NO_PROPOSAL_CHOSEN, а пар упућује на фазу 2 размене, где стране пореде изборе шифровања и хеширања и стају када немају ништа заједничко. Акредитиви у тој фази још нису послати, па поновни унос лозинке не може променити исход.

Две ствари обично испразне тај пресек на Linux клијенту. Локални демон можда више не имплементира Diffie-Hellman групу коју профил тражи, или профил носи предлог фазе 1 у пољу за фазу 2. Обе остављају траг у запису, и ниједна није проблем са налогом.

Шта те две поруке заправо говоре

IKE преговара у пролазима. Фаза 1 гради заштићени канал и бира сопствене алгоритме; фаза 2, дете SA, преноси саобраћај по засебном скупу. NO_PROPOSAL_CHOSEN је обавештење које одговарач враћа када ниједна од понуђених комбинација није прихватљива, и појављује се као [ HASH N(NO_PROP) ] унутар INFORMATIONAL размене.

Сигнал 15 је други догађај: нешто је рекло локалном процесу да се заустави и руковалац је то записао. Када се оба реда појаве заједно, редослед је узрочан, прво одбијање па гашење.

Прочитајте преговоре пре него што дирнете акредитиве

Подигните ниво записа тамо где демон пише, па се поново повежите гледајући излаз. На NetworkManager хосту L2TP додатак прослеђује тај ниво позадини, а поруке завршавају у журналу или у класичној syslog датотеци зависно од дистрибуције. Било шта од овога показаће размену: journalctl -f -u NetworkManager | grep -Ei 'pluto|charon|no_prop|proposal' или tail -f /var/log/syslog | grep -Ei 'pluto|charon|ike'.

Ред који именује pluto долази из libreswana, charon из strongSwana, и оба описују исто стање различитим речима. Форма коју вреди тражити је она која именује групу која недостаје, попут algorithm 'modp1024' is not supported, јер нејасну грешку претвара у конкретну.

Куда је отишао modp1024

Diffie-Hellman група 2 довољно је слаба да је неколико дистрибуција престало да је компајлира у libreswan од 3.30 надаље. Тада профил написан пре година, или преузет из водича за мрежни пролаз који наводи само aes128-sha1-modp1024, тражи од локалног демона нешто што овај уопште не може извести. Нове NetworkManager-l2tp градње тај исход чине вероватнијим: од 1.2.16 замењују скуп предлогом у стилу Windows 10 и iOS и избацују modp1024 чим открију libreswan. Друга страна често је невина и још увек нуди управо групу коју сте поставили.

Та асиметрија је оно што грешку чини случајном. Старији клијент се повеже, исти профил на ажурираном преноснику не, а конфигурација сервера никада се није померила. Штету ради разлика у верзијама.

Два поправка са различитим обимом последица

Јефтин поправак је престати тврдо кодирати алгоритме. Обришите оба поља предлога у уређивачу и пустите додатку да изабере скуп који друга страна прихвата; ако пролаз подржава модерне групе, преговор се завршава без додатног рада.

Други поправак одржава стари пролаз доступним инсталирањем strongSwana, чији пакети још увек имплементирају групу 2 на већини дистрибуција. То је замена демона, па има цену: проверите да ли други тунели на хосту зависе од libreswan конфигурације пре него што га уклоните, и очекујте SELinux одбијања између NetworkManagera и strongSwan додатка на Fedori. Та одбијања се појављују у ревизорском запису, а не у IKE трагу, зато тунел може изгледати покварен одмах након успешне инсталације. Редослед који ради је прво dnf install strongswan, затим rpm -e libreswan.

Низови предлога који се поклапају и замке око њих

Када поља морате испунити ручно, фаза 1 и фаза 2 узимају различите вредности. Пар за који се зна да ради са Meraki стилом друге стране нуди aes128-sha1-modp1024 у фази 1 са 3des-sha1-modp1024 иза себе, оба затворена узвичником који скуп чини строжим, па се шаљу само ти предлози.

Фаза 2 се затим сужава на aes128-sha1 и 3des-sha1 са истом строгом ознаком и без икаквог Diffie-Hellman суфикса. Ред фазе 2 који носи -modp1024 вредност је фазе 1 на погрешном месту, и одговарач га одбија при сваком покушају. Копирајте тај ред у други профил и други профил пада на исти начин, тако једна типфлер постаје инцидент на нивоу целе флоте.

Други кварови носе исти искачући прозор без тога да су неслагање предлога. На KDE-у тип L2TP може бити наведен уз инсталиран додатак, а свака веза одмах умре, јер се уређивач веза и помоћници за време извршавања испоручују као засебни пакети. Хостови без екрана могу поново употребити профил са радне површине: копирајте га из /etc/NetworkManager/system-connections/, поставите режим на 600, затим покрените nmcli con reload. Подигните га са nmcli con up id work-l2tp, јер гола форма тражи UUID, и уклоните сваки застарели ifname унос, иначе управљач одговори Could not find source connection док је све остало исправно.

Унапред дељени кључ може се чувати као чист текст или као 0s па base64; оба облика раде, али вредност мора одговарати пролазу бајт по бајт, укључујући завршне размаке које сте копирали са њом.