Je, uboreshaji wa Ubuntu ulivunja L2TP/IPsec? Linganisha mapendekezo ya IKEv1

Muunganisho ulifanya kazi Alhamisi, uboreshaji ulifanyika Ijumaa, na Jumatatu mteja anazunguka kwenye “connecting” na kukata tamaa. Laptop ileile, seva ileile, akaunti ileile, ufunguo uleule ulioshirikiwa mapema. Hakuna kitu kwenye profaili kilichohaririwa, ndiyo sababu washukiwa dhahiri, nenosiri na firewall, wanapoteza muda wako.

Kilichobadilika ni orodha ya mabadiliko ambayo mashine yako iko tayari kutoa. Rundo zote mbili za IPsec zinazotumika kwenye Ubuntu, strongSwan na Libreswan, zinaondoa algoriti ambazo hazizichukui kuwa salama tena, na programu jalizi ya NetworkManager iliyo mbele yao ina orodha yake, inayosogea kwa ratiba tofauti. Seva iliyobandikwa kwenye 3DES, SHA1 na kikundi cha Diffie-Hellman cha biti 1024 inaweza kuishia bila kusikia chochote inachokubali.

Uboreshaji ulibadilisha nini hasa

Tabaka mbili hulisha pendekezo la IKEv1. Daemon huleta seti ya mapendekezo ya chaguo-msingi iliyojengwa ndani, na jalizi ya L2TP ama inaitegemea au inatoa orodha yake. Kabla ya NetworkManager-l2tp 1.2.16 jalizi il iitegemea, kwa hiyo pendekezo lako lilikuwa kile daemon iliyosakinishwa ilichukua kuwa sawa. Kuanzia 1.2.16 jalizi hutuma orodha iliyoandikwa iliyoundwa kwa mfano wa wateja wa Windows na Apple, na orodha hiyo ni pana kuliko chaguo-msingi la zamani lakini haijumuishi tena kila mchanganyiko wa zamani mbele ya foleni.

Mgawanyiko huo unaeleza hali ya kushindikana ambayo watu wanaona kuwa ya kutatanisha: mashine mbili kwenye toleo moja la Ubuntu zinaweza kuwa na tabia tofauti kwa sababu moja ina kifurushi cha usambazaji na nyingine ina backport, na toleo la daemon kwa zote mbili linaonekana sawa katika ripoti ya hitilafu. Angalia toleo la jalizi, sio toleo la daemon tu, kabla ya kuhitimisha kuwa uboreshaji haukubadilisha chochote kinachohusika.

Kuna mtego mdogo katika eneo hilo hilo. Daemon mbili huandika vikundi vya Diffie-Hellman vya mzingo duara kwa namna tofauti, moja huandika ecp384 na nyingine ecp_384. Bandika tahajia isiyo sahihi kwenye kidirisha cha Advanced na daemon itakataa mpangilio kama usioweza kuchanganuliwa, jambo ambalo huonekana kwenye kumbukumbu kama tatizo la majadiliano na sio kama makosa ya kuandika kwenye usanidi.

Soma kushindikana kabla ya kubadilisha chochote

Anza na backend unayoendesha, kwa sababu jibu linaamua sintaksia na mahali pa kumbukumbu.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

Kisha soma mabadilishano yenyewe. Kwenye strongSwan daemon huandika kwenye journal kwenye toleo la sasa na kwenye /var/log/syslog kwenye toleo la zamani, na sehemu ya kuvutia ni pendekezo linalotuma, sio mstari wa mwisho. Unatafuta maneno kuhusu hakuna pendekezo linalolingana, ambalo ni tatizo la algoriti; kushindwa kwa uthibitishaji, kunakoelekeza kwenye ufunguo au akaunti; au muda wa kusubiri tu, unaoelekeza kwenye upatikanaji.

Matokeo haya matatu huchukuliwa kama dalili moja mara nyingi mno. Muda wa kusubiri na kumbukumbu tupu ya daemon inamaanisha pakiti hazifiki. Kukataliwa kwa pendekezo inamaanisha zilifika na zilikataliwa. Ikiwa kumbukumbu yako ni kimya, ongeza kiwango cha utatuzi wa jalizi kwa jaribio moja na kisha kipunguze, kwa sababu matokeo ya kina hujaza journal haraka.

Awamu ya 1 na awamu ya 2 ni dau tofauti

IKEv1 hujadiliana mara mbili. Hali kuu hujenga muungano wa usalama wa IKE kutoka algoriti ya usimbaji fiche, algoriti ya uadilifu, kikundi cha Diffie-Hellman na mbinu ya uthibitishaji. Hali ya haraka kisha hujenga muungano wa ESP ambao utabeba L2TP. Seva iko huru kukubali ya kwanza na kukataa ya pili, kwa hiyo profaili iliyo sawa nusu hushindikana baadaye kuliko unavyotarajia na inaonekana kama hitilafu nyingine.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

Alama ya mshangao ni sintaksia ya strongSwan kwa ingizo kali: toa mchanganyiko huu mmoja na hakuna kingine. Bila hiyo ingizo hujiunga na orodha mbadala, ambayo ni sawa wakati mwenzake ni wa kisasa na ni kinyume cha manufaa wakati ni kifaa chenye sera moja iliyowekwa kwa nguvu. Chukulia jozi ya juu kama kielelezo cha umbo, sio kama pendekezo kwa chochote unachojenga leo.

Badilisha sehemu moja, kisha rudia jaribio

Kwenye jalizi ya sasa, jaribio la kwanza la haraka zaidi ni kufuta kabisa sehemu zote mbili za mapendekezo na kuunganisha tena, kwa sababu orodha ya chaguo-msingi iliyotolewa tayari ina mchanganyiko wa kawaida wa Windows na Apple. Kwenye jalizi ya zamani, kuzifuta kunarudisha udhibiti kwa daemon ambayo inaweza kuwa imeacha algoriti ambayo seva yako inasisitiza, na kushindikana kunazidi kuwa mbaya.

Ikiwa kufuta hakusaidii, weka jozi kali ambayo seva yako inaandika, awamu moja kwa wakati. Badilisha awamu ya 1, unganisha tena, na soma kumbukumbu kabla ya kugusa awamu ya 2. Wakati mchanganyiko hatimaye unafanya kazi, uandike kando ya modeli ya seva na toleo la jalizi, kwa sababu chaguo-msingi yatasogea tena na noti hiyo ndiyo inayobadilisha uboreshaji ujao kuwa ukaguzi wa dakika tano.