NO_PROPOSAL_CHOSEN kwenye L2TP? Changanua lango kwanza

Mteja wa L2TP/IPsec anayeshindwa kabla ya kidokezo cha jina la mtumiaji hakuwahi kukubaliana kuhusu awamu 1. Changanua seti ya mapendekezo ya lango badala ya kubandika mifuatano ya siri.

Kidokezo cha jina la mtumiaji hakitokei kamwe, na mteja anaripoti NO_PROPOSAL_CHOSEN. Wakati huo vitambulisho na ufunguo ulioshirikiwa mapema hazina umuhimu, kwa sababu pande mbili hazijakubaliana jinsi ya kulinda awamu 1. Watu wengi hujibu kwa kubandika mfuatano wa siri walioupata mtandaoni. Kuchanganua lango hujibu swali hilo hilo kwa ushahidi na huchukua takriban muda sawa.

Kile ambacho ujumbe haujumuishi

Kukataliwa hutokea katika hali kuu, kabla ya kubadilishana L2TP au PPP yoyote, kwa hivyo handaki na hifadhidata ya watumiaji hazikuulizwa. Awamu 1 hujadili usimbaji fiche, uadilifu na kundi la Diffie-Hellman. Awamu 2 hujadili pendekezo la ESP kwa data. Hitilafu katika awamu 1 haiwezi kurekebishwa kwa kubadilisha mpangilio wa PFS wa awamu 2, na muungano wa IKE uliokamilika hauthibitishi kuwa pendekezo la ESP linafaa.

Rekodi backend kabla ya kuhariri sintaksia: ipsec --version. libreswan na strongSwan hukubali tahajia tofauti za pendekezo kwa algoriti zile zile.

Kisha soma kukataliwa katika muktadha pamoja na journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Changanua lango kwa seti yake ya mabadiliko

Kichanganuzi humuuliza lango moja kwa moja ni mabadiliko gani litakayojadili. Kwanza simamisha huduma ya IPsec ya ndani ili uchunguzi usishindane na mteja wako mwenyewe, kisha soma mistari ya SA. Chukulia orodha kama ushahidi kuhusu upande mwingine, si kama menyu ya kuwasha yote kwa pamoja.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Vifaa vya zamani mara nyingi hutoa 3DES, SHA1 na MODP1024, kwa sababu hizo zilikuwa chaguo-msingi wakati bidhaa iliposafirishwa na hakuna aliyekagua tena. Hifadhi matokeo ghafi ya uchanganuzi, kwa sababu ndiyo rekodi pekee ya kile upande mwingine ulitoa siku hiyo. Ikiwa ndiyo mwingiliano wenye nguvu zaidi unaopatikana, upandishaji sahihi ni kwa mmiliki wa lango, si kwa usanidi wa mteja unaowasha tena usimbaji fiche hafifu kwa kila mtu.

Linganisha mwingiliano bila kuzima usalama

Weka tu mabadiliko yanayotokea katika uchanganuzi na sera yako. Mfano hapa chini unaakisi lango linalotoa 3DES, SHA1 na MODP1024 katika awamu 1. Angalia tahadhari kuhusu backend: libreswan 4.x haikusanyi kundi la modp1024, kwa hivyo hii inatumika kwa strongSwan au muundo wa libreswan wenye msaada wa DH2. Thibitisha toleo kabla ya kuhitimisha kuwa mteja umeharibika.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Alama ya mshangao mwishoni hubana pendekezo moja. Itumie kutenga jaribio, kisha iondoe ili lango liweze kujadili kitu chenye nguvu zaidi baadaye.

Kagua daemon na bandari kabla ya kujaribu tena

NetworkManager-l2tp huanzisha nakala yake ya xl2tpd. Ikiwa huduma ya mfumo tayari inamiliki UDP 1701, mteja hurudi kwenye bandari ya chanzo ya muda, ambayo RFC 3193 inaruhusu na baadhi ya seva huiacha kimya. Kagua mmiliki wa soketi kabla ya jaribio lijalo.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Siri zilizotengenezwa zamani ni sababu nyingine ya kimya. Faili zilizo chini ya /etc/ipsec.d/ zilizoitwa kwa muunganisho wa zamani zinaweza kuishi zaidi ya wasifu uliozitengeneza, kwa hivyo ondoa zile ambazo hakuna kinachozirejelea na ujaribu tena.

Hatimaye, kagua ushauri ulikotoka. ipsec.conf iliyoandikwa kwa IKEv1 XAuth inaeleza aina nyingine ya VPN, na pendekezo lake si mstari pekee utakaokuwa si sahihi katika wasifu wa L2TP. Rekodi seti ya mabadiliko uliyoingiza kando ya wasifu, ili mtu anayefuata asirudie uchunguzi.

Makala zinazohusiana