PSK ya L2TP/IPsec imekataliwa: pitia mazungumzo kwanza, kisha faili

Unabandika ufunguo ulioshirikiwa mapema kutoka ujumbe wa msimamizi kwenye mazungumzo ya NetworkManager, unaweka tiki kwenye kisanduku ili kuuonyesha, nao unalingana herufi kwa herufi. Muunganisho bado unaishia kwa hitilafu ya uthibitishaji kabla handaki haijainuka. Mara ya kwanza nilipoona hili nilidhani ufunguo ni mbaya; haukuwa. Mambo mengine mawili huamua kile daemon husoma kwa kweli: faili la siri ambalo programu-jalizi huandika kwa muunganisho huo, na ikiwa thamani ilipita kwenye mazungumzo bila kubadilika.

Njia iliyo hapa chini inafuata ufunguo kutoka sehemu hadi faili, na mpangilio huo ndio unaokwambia ulipopotea. Fanya hivyo kwenye mashine inayoshindwa, sio ile inayofanya kazi, kwa sababu tofauti kati ya mashine hizo mbili kawaida ni mpangilio wa faili, sio ufunguo.

Anza kwenye mazungumzo, lakini usiamini sehemu

Fungua kichupo cha IPsec cha muunganisho na andika ufunguo tena badala ya kuubandika. Ufunguo ulionakiliwa kutoka ujumbe wa gumzo, PDF au kidhibiti cha nenosiri unaweza kufika na mchanganuo wa mstari mwishoni ambao sehemu haionyeshi, na herufi zinazoonekana bado zinaonekana sawa.

Bofya kidhibiti cha kuonyesha nenosiri na uangalie mwisho wa mfuatano, sio katikati. Ikiwa kielekezi kinaacha mstari tupu chini ya maandishi, ufute na uandike tena herufi ya mwisho. Marekebisho hayo moja hutatua sehemu ya kushangaza ya ripoti kama hizi, na hugharimu kidogo kuliko kusoma logi yoyote.

Ikiwa ufunguo unatoka kwenye mfumo wa tiketi unaokunja mistari mirefu, uombe kupitia njia isiyokunja. Linganisha urefu na msimamizi badala ya kuangalia mifuatano miwili bega kwa bega; herufi iliyopotea kwenye mahali pa kunjaji haionekani katika fonti sawia.

Fuata ufunguo ndani ya /etc/ipsec.d

Programu-jalizi haitoi kamwe PSK kwa daemon ya IPsec kama hoja kwenye mstari wa amri. Badala yake huhifadhi thamani katika faili la siri na hupanga daemon iingize faili hilo, kwa kuongeza mstari wa include kwenye /etc/ipsec.secrets ikiwa hakuna. Kile mazungumzo yanashikilia ni ingizo kwa faili lililozalishwa, sio thamani inayotumika.

Orodhesha kilichopo kabla ya kubadilisha chochote:

ipsec --version
sudo ls -l /etc/ipsec.d/*.secrets /etc/ipsec.d/ipsec.nm-l2tp.secrets 2>/dev/null
sudo grep -n "include" /etc/ipsec.secrets

Matoleo ya zamani ya programu-jalizi yaliandika faili moja kwa kila muunganisho, lililoitwa kwa UUID ya muunganisho, kwa mfano /etc/ipsec.d/nm-l2tp-ipsec-<uuid>.secrets. Kufuta profaili kwenye apple haifuti faili hilo kwa kuaminika. Ikiwa faili la zamani kutoka seva iliyopita bado liko kwenye diski na bado limeingizwa, daemon inaweza kuchagua siri inayomilikiwa na profaili usiyotumia tena, na muunganisho unashindwa wakati sehemu inayoonekana ni sahihi.

Elewa kile badiliko la 1.2.12 lililofanya kwa uboreshaji

Toleo la programu-jalizi 1.2.12 lilibadilisha faili za siri kwa kila muunganisho na faili moja iliyoshirikiwa, /etc/ipsec.d/ipsec.nm-l2tp.secrets. Uboreshaji hausafishi faili za zamani kwa UUID, na mstari include /etc/ipsec.d/*.secrets uliopo bado unaziingiza. Toleo 1.2.16 lilibadilisha utunzaji wa mapendekezo ya chaguo-msingi, sio mpangilio wa siri.

Historia hiyo inaeleza kwa nini mashine mbili zenye kinachoonekana profaili moja zina tabia tofauti. Ufunguo ni sawa; seti ya faili ambazo daemon inaingiza haiko sawa. Unapoondoa faili lililotelekezwa, lisogeze kando badala ya kulifuta, thibitisha muunganisho, kisha lifute baada ya hali ya kufanya kazi kurekodiwa. Kubadilisha jina huweka thamani ya zamani ikiweza kurejeshwa ikiwa itathibitika kuwa hitilafu iko mahali pengine.

Tenganisha herufi ambazo umbizo la kuhifadhi haliwezi kuzishikilia

Nyaraka za strongSwan kuhusu mfuatano wa siri iliyoshirikiwa zinasema kwamba thamani haiwezi kuwa na mstari mpya au herufi ya alama ya kunukuu mara mbili. Ufunguo uliobandikwa kutoka hati unaweza kubeba yoyote kati ya hizo bila tofauti yoyote ya kuonekana katika mazungumzo ya kawaida.

Tangu 1.2.12 thamani iliyohifadhiwa sio maandishi tupu. Programu-jalizi husimba PSK katika base64 kabla haijafika kwenye faili, na maelezo ya toleo yanataja usimbaji huo kama sababu ya alama ya kunukuu mara mbili sasa kukubalika katika ufunguo. Kwa hivyo alama ya kunukuu iliyoandikwa kwenye sehemu inaweza kuwakilishwa; sivyo ilivyo kwa kila herufi ya udhibiti.

Urefu ni kizuizi kingine. Hakuna kiwango cha chini cha jumla kinachotumika katika programu ya L2TP/IPsec: wateja wengine hukubali funguo fupi kuliko herufi ishirini na lango zingine hulazimisha kiwango cha chini. Ikiwa ufunguo mfupi unakataliwa, sheria ni ya sera ya seva au uthibitishaji wa mteja huyo, na kuinua kitu ndani hakutabadilisha hilo.

Soma ni tabaka gani la uthibitishaji lililoshindwa

Endesha ipsec --version kwanza, kwa sababu strongSwan na Libreswan hutumia majina ya faili na sintaksia tofauti, na ushauri kwa mmoja unaweza kuumiza mwingine. Kisha soma hatua ya kushindwa kutoka ujumbe wa mteja au logi ya daemon: malalamiko kuhusu ufunguo ulioshirikiwa mapema ni tukio tofauti na jina la mtumiaji na nenosiri lililokataliwa.

PSK huthibitisha ncha za handaki. Jina la mtumiaji na nenosiri huthibitisha mtu aliye ndani ya L2TP, na PPP hushughulika nazo baada ya muungano wa IPsec kuinuka. PSK sahihi na akaunti isiyo sahihi bado inashindwa, na kubadilisha akaunti hakutarekebisha ufunguo ambao daemon haikuusoma kwa usahihi kamwe.

Unapofunga tiketi, andika zote nne: toleo la programu-jalizi, faili la siri linalotumika, ikiwa ufunguo uliandikwa tena au ulibandikwa, na tabaka lililotajwa kwenye hitilafu. Ndipo yeyote atakayerudia njia hii baadaye anaweza kuruka moja kwa moja hadi tofauti kati ya mashine inayofanya kazi na ile inayoshindwa.