L2TP: ishara mbaya 15, NO_PROPOSAL_CHOSEN na modp1024 inayokosekana

Muunganisho wako unakwama, mteja anatoka, na mstari wa mwisho kwenye skrini ni death_handler: Fatal signal 15 received. Mstari huo unaripoti kukatika, si sababu. Mstari mmoja juu kwenye kumbukumbu ya IPsec karibu kila mara kuna NO_PROPOSAL_CHOSEN, na jozi hilo linaelekeza kwenye awamu ya 2 ya mabadilishano, ambapo pande zote hulinganisha chaguo za usimbaji fiche na hash na kuacha pale ambapo hakuna kitu cha pamoja. Vitambulisho bado havijatumwa katika hatua hiyo, kwa hiyo kuandika nenosiri tena hakuwezi kubadilisha matokeo.

Kwa kawaida mambo mawili huondoa makutano hayo kwenye mteja wa Linux. Daemon ya ndani inaweza kuwa haitekelezi tena kikundi cha Diffie-Hellman kinachohitajika na wasifu, au wasifu unaweza kubeba pendekezo la awamu ya 1 kwenye sehemu ya awamu ya 2. Zote mbili zinaacha alama kwenye kumbukumbu, na hakuna moja ni tatizo la akaunti.

Ujumbe huo miwili unasema nini kwa hakika

IKE hujadiliana kwa hatua. Awamu ya 1 hujenga kituo kilicholindwa na huchagua algoriti zake; awamu ya 2, yaani SA mtoto, hubeba trafiki chini ya seti tofauti. NO_PROPOSAL_CHOSEN ni taarifa ambayo mjibu hurudisha pale ambapo hakuna mchanganyiko uliotolewa unaokubalika, na inaonekana kama [ HASH N(NO_PROP) ] ndani ya mabadilishano ya INFORMATIONAL.

Ishara 15 ni tukio lingine: kitu kiliambia mchakato wa ndani usimame na mshughulikiaji aliandika hilo. Wakati mistari yote miwili inaonekana pamoja, mpangilio ni wa kisababu, kwanza kukataliwa kisha kuzima.

Soma majadiliano kabla ya kugusa vitambulisho

Pandisha kiwango cha kumbukumbu pale ambapo daemon huandika, kisha unganisha tena huku ukitazama matokeo. Kwenye mwenyeji wa NetworkManager, programu-jalizi ya L2TP hupitisha kiwango hicho kwa backend, na ujumbe huishia kwenye journal au faili ya syslog ya kawaida kulingana na usambazaji. Yoyote kati ya haya itaonyesha mabadilishano: journalctl -f -u NetworkManager | grep -Ei 'pluto|charon|no_prop|proposal' au tail -f /var/log/syslog | grep -Ei 'pluto|charon|ike'.

Mstari unaotaja pluto unatoka libreswan, charon kutoka strongSwan, na zote mbili zinaelezea hali moja kwa maneno tofauti. Umbo linalostahili kutafutwa ni lile linalotaja kikundi kinachokosekana, kwa mfano algorithm 'modp1024' is not supported, kwa sababu hubadilisha hitilafu isiyoeleweka kuwa mahususi.

modp1024 ilienda wapi

Kikundi cha 2 cha Diffie-Hellman ni dhaifu vya kutosha kwamba usambazaji kadhaa uliacha kuikusanya ndani ya libreswan kuanzia 3.30. Wakati huo wasifu ulioandikwa miaka iliyopita, au uliondolewa kutoka mwongozo wa lango unaoorodhesha aes128-sha1-modp1024 pekee, humtaka daemon wa ndani kitu ambacho hawezi kufanya kabisa. Miundo mipya ya NetworkManager-l2tp hufanya matokeo hayo kuwa yanayowezekana zaidi: kuanzia 1.2.16 hubadilisha seti kwa mapendekezo ya mtindo wa Windows 10 na iOS na kuacha modp1024 mara tu libreswan inapogunduliwa. Upande wa pili mara nyingi hauna hatia na bado hutoa kikundi kilekile ulichokisanidi.

Ni huo usawa ambao hufanya hitilafu ionekane ya nasibu. Mteja wa zamani huunganisha, wasifu uleule kwenye kompyuta mpakato iliyosasishwa haunganishi, na usanidi wa seva haujawahi kusogea. Uharibifu unafanywa na mchepuko wa matoleo.

Marekebisho mawili yenye athari tofauti

Marekebisho ya bei nafuu ni kuacha kusimba algoriti kwa mkono. Futa sehemu zote mbili za mapendekezo kwenye kihariri na uache programu-jalizi ichague seti inayokubaliwa na upande wa mbali; ikiwa lango linaunga mkono vikundi vya kisasa, majadiliano hukamilika bila kazi zaidi.

Marekebisho ya pili huweka lango la zamani likifikiwa kwa kusakinisha strongSwan, ambayo pakiti zake bado zinatekeleza kikundi cha 2 katika usambazaji mwingi. Hiyo ni kubadilisha daemon, kwa hiyo ina gharama: hakikisha kama vichuguu vingine kwenye mwenyeji vinategemea usanidi wa libreswan kabla ya kuiondoa, na tarajia kukataliwa kwa SELinux kati ya NetworkManager na programu-jalizi ya strongSwan kwenye Fedora. Kukataliwa huko huonekana kwenye kumbukumbu ya ukaguzi na si kwenye athari ya IKE, ndiyo sababu kichuguu kinaweza kuonekana kimevunjika mara moja baada ya usakinishaji uliofaulu. Mpangilio unaofanya kazi ni kwanza dnf install strongswan, kisha rpm -e libreswan.

Mistari ya mapendekezo inayolingana, na mitego inayozunguka

Wakati sehemu zinapaswa kujazwa kwa mkono, awamu ya 1 na awamu ya 2 huchukua thamani tofauti. Jozi linalojulikana kufanya kazi dhidi ya upande wa mtindo wa Meraki hutoa aes128-sha1-modp1024 katika awamu ya 1 likiwa na 3des-sha1-modp1024 nyuma yake, zote mbili zimefungwa kwa alama ya mshangao inayofanya seti kuwa kali, kwa hiyo mapendekezo hayo pekee ndiyo hutumwa.

Awamu ya 2 kisha hupungua hadi aes128-sha1 na 3des-sha1 kwa alama hiyo hiyo kali na bila kiambishi chochote cha Diffie-Hellman. Mstari wa awamu ya 2 unaobeba -modp1024 ni thamani ya awamu ya 1 kwenye sehemu isiyofaa, na mjibu huukataa katika kila jaribio. Nakili mstari huo kwenye wasifu wa pili na wasifu wa pili unashindwa vivyo hivyo, na hivyo kosa moja la kuandika linakuwa tukio kwa meli yote.

Hitilafu nyingine huvaa dirisha lilelile la kujitokeza bila kuwa kutokulingana kwa mapendekezo. Kwenye KDE aina ya L2TP inaweza kuorodheshwa wakati programu-jalizi imesakinishwa huku kila muunganisho ukifa papo hapo, kwa sababu kihariri cha miunganisho na wasaidizi wa wakati wa utekelezaji huletwa kama pakiti tofauti. Wenyeji wasio na skrini wanaweza kutumia tena wasifu kutoka kwa dawati linalofanya kazi: nakili kutoka /etc/NetworkManager/system-connections/, weka hali kuwa 600, kisha endesha nmcli con reload. Ilete juu kwa nmcli con up id work-l2tp, kwa kuwa umbo tupu linahitaji UUID, na uondoe kuingiza yoyote ya zamani ya ifname, vinginevyo msimamizi anajibu Could not find source connection wakati kila kitu kingine ni sahihi.

Ufunguo ulioshirikiwa mapema unaweza kuhifadhiwa kama maandishi wazi au kama 0s ikifuatiwa na base64; aina zote mbili zinafanya kazi, lakini thamani lazima ilingane na lango baiti kwa baiti, ikiwa ni pamoja na nafasi za mwisho ulizonakili pamoja nayo.