Ubuntu மேம்படுத்தல் L2TP/IPsec ஐ உடைத்ததா? IKEv1 முன்மொழிவுகளை ஒப்பிடுங்கள்

இணைப்பு வியாழக்கிழமை வேலை செய்தது, மேம்படுத்தல் வெள்ளிக்கிழமை இயங்கியது, திங்கட்கிழமை வாடிக்கையாளர் “connecting” இல் சுழன்று கைவிடுகிறார். அதே மடிக்கணினி, அதே சேவையகம், அதே கணக்கு, அதே முன்பே பகிரப்பட்ட விசை. சுயவிவரத்தில் எதுவும் திருத்தப்படவில்லை, அதனால்தான் வெளிப்படையான சந்தேகத்திற்குரியவர்கள், கடவுச்சொல்லும் ஃபயர்வாலும், உங்கள் நேரத்தை வீணாக்குகின்றன.

மாறியது உங்கள் இயந்திரம் வழங்கத் தயாராக உள்ள மாற்றங்களின் பட்டியல். Ubuntu இல் பயன்படுத்தப்படும் இரண்டு IPsec ஸ்டாக்குகளும், strongSwan மற்றும் Libreswan, இனி பாதுகாப்பானதாகக் கருதாத அல்காரிதங்களை நீக்குகின்றன, அவற்றுக்கு முன்னால் உள்ள NetworkManager செருகுநிரலுக்கு வேறு கால அட்டவணையில் நகரும் சொந்தப் பட்டியல் உள்ளது. 3DES, SHA1 மற்றும் 1024 பிட் Diffie-Hellman குழுவில் பொருத்தப்பட்ட சேவையகம் இறுதியில் தான் ஏற்படுத்திக் கொள்ளும் எதையும் கேட்காமல் போகலாம்.

மேம்படுத்தல் உண்மையில் என்ன மாற்றியது

IKEv1 முன்மொழிவை இரண்டு அடுக்குகள் ஊட்டுகின்றன. டீமன் தொகுக்கப்பட்ட இயல்புநிலை முன்மொழிவுத் தொகுப்பை வழங்குகிறது, L2TP செருகுநிரல் அதை நம்புகிறது அல்லது தனது சொந்தப் பட்டியலைத் தருகிறது. NetworkManager-l2tp 1.2.16 க்கு முன் செருகுநிரல் அதை நம்பியது, எனவே உங்கள் முன்மொழிவு நிறுவப்பட்ட டீமன் நியாயமானதாகக் கருதியதே. 1.2.16 முதல் செருகுநிரல் Windows மற்றும் Apple வாடிக்கையாளர்களை மாதிரியாகக் கொண்ட ஆவணப்படுத்தப்பட்ட பட்டியலை அனுப்புகிறது, அந்தப் பட்டியல் பழைய இயல்புநிலையை விட பரந்தது ஆனால் வரிசையின் முன்னால் இருந்த ஒவ்வொரு பழைய சேர்க்கையையும் இனி கொண்டிருக்கவில்லை.

அந்தப் பிரிவு மக்களுக்கு குழப்பமாகத் தோன்றும் தோல்வி முறையை விளக்குகிறது: ஒரே Ubuntu வெளியீட்டில் உள்ள இரண்டு இயந்திரங்கள் வெவ்வேறாக நடந்து கொள்ளலாம், ஏனெனில் ஒன்றில் விநியோகத் தொகுப்பு உள்ளது மற்றொன்றில் backport உள்ளது, பிழை அறிக்கையில் இரண்டிலும் டீமன் பதிப்பு ஒரே மாதிரியாகத் தெரிகிறது. மேம்படுத்தல் தொடர்புடைய எதையும் மாற்றவில்லை என்று முடிவெடுக்கும் முன் செருகுநிரல் பதிப்பைச் சரிபார்க்கவும், டீமன் பதிப்பை மட்டும் அல்ல.

அதே பகுதியில் சிறிய பொறி ஒன்று உள்ளது. இரண்டு டீமன்களும் நீள்வட்ட வளைவு Diffie-Hellman குழுக்களை வெவ்வேறாக எழுதுகின்றன, ஒன்று ecp384 என்றும் மற்றொன்று ecp_384 என்றும் எழுதுகிறது. தவறான எழுத்துப்பிழையை Advanced உரையாடலில் ஒட்டவும், டீமன் அந்த அமைப்பை பகுப்பாய்வு செய்ய முடியாதது என நிராகரிக்கும், அது பதிவில் கட்டமைப்பின் தட்டச்சுப் பிழையாக அல்லாமல் பேச்சுவார்த்தை சிக்கலாகத் தெரிகிறது.

எதையும் மாற்றும் முன் தோல்வியைப் படியுங்கள்

எந்த பின்தளத்தை இயக்குகிறீர்கள் என்பதில் தொடங்குங்கள், ஏனெனில் பதில் இலக்கணத்தையும் பதிவின் இடத்தையும் தீர்மானிக்கிறது.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

பின்னர் பரிமாற்றத்தையே படியுங்கள். strongSwan இல் டீமன் தற்போதைய வெளியீட்டில் journal இற்கும் பழையதில் /var/log/syslog இற்கும் எழுதுகிறது, சுவாரஸ்யமான பகுதி கடைசி வரி அல்ல, அது அனுப்பும் முன்மொழிவு. நீங்கள் தேடுவது பொருந்தும் முன்மொழிவு இல்லை என்பது பற்றிய சொற்றொடர், அது அல்காரிதம் சிக்கல்; அங்கீகாரத் தோல்வி, அது விசை அல்லது கணக்கைச் சுட்டுகிறது; அல்லது எளிய நேர முடக்கம், அது அணுகல்தன்மையைச் சுட்டுகிறது.

இந்த மூன்று முடிவுகளும் ஒரே அறிகுறியாக அடிக்கடி கருதப்படுகின்றன. காலியான டீமன் பதிவுடன் நேர முடக்கம் என்பது பொதிகள் வரவில்லை என்பதாகும். முன்மொழிவு நிராகரிக்கப்பட்டது என்பது அவை வந்து நிராகரிக்கப்பட்டன என்பதாகும். உங்கள் பதிவு அமைதியாக இருந்தால், ஒரு முயற்சிக்கு செருகுநிரலின் பிழைத்திருத்த அளவை உயர்த்தி பின்னர் குறைக்கவும், ஏனெனில் விரிவான வெளியீடு journal ஐ விரைவாக நிரப்புகிறது.

1 ஆம் கட்டமும் 2 ஆம் கட்டமும் தனித்தனி பந்தயங்கள்

IKEv1 இரண்டு முறை பேச்சுவார்த்தை நடத்துகிறது. முதன்மை பயன்முறை IKE பாதுகாப்புச் சங்கத்தை மறையாக்க அல்காரிதம், ஒருமைப்பாட்டு அல்காரிதம், Diffie-Hellman குழு மற்றும் அங்கீகார முறையிலிருந்து உருவாக்குகிறது. பின்னர் விரைவு பயன்முறை L2TP ஐ எடுத்துச் செல்லும் ESP சங்கத்தை உருவாக்குகிறது. சேவையகம் முதலாவதை ஏற்று இரண்டாவதை நிராகரிக்க சுதந்திரமானது, எனவே பாதி சரியான சுயவிவரம் நீங்கள் எதிர்பார்ப்பதை விட தாமதமாகத் தோல்வியடைகிறது, வேறு பிழை போலத் தெரிகிறது.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

ஆச்சரியக்குறி strongSwan இலக்கணத்தில் கடுமையான உள்ளீட்டைக் குறிக்கிறது: இந்த ஒரு சேர்க்கையை மட்டும் வழங்குங்கள், வேறு எதுவும் இல்லை. அது இல்லாமல் உள்ளீடு மாற்றுப் பட்டியலில் சேர்கிறது, எதிர்ப் பக்கம் நவீனமாக இருக்கும்போது அது நல்லது, ஒரே கடினமாக குறியிடப்பட்ட கொள்கை உள்ள சாதனமாக இருக்கும்போது தீங்கானது. மேலே உள்ள ஜோடியை வடிவத்தின் எடுத்துக்காட்டாகக் கருதுங்கள், இன்று நீங்கள் கட்டும் எதற்கும் பரிந்துரையாக அல்ல.

ஒரு புலத்தை மாற்றி, பின்னர் சோதனையை மீண்டும் செய்யுங்கள்

தற்போதைய செருகுநிரலில் வேகமான முதல் சோதனை இரண்டு முன்மொழிவு புலங்களையும் முழுவதுமாக காலி செய்து மீண்டும் இணைப்பதாகும், ஏனெனில் வழங்கப்பட்ட இயல்புநிலைப் பட்டியலில் பொதுவான Windows மற்றும் Apple சேர்க்கைகள் ஏற்கனவே உள்ளன. பழைய செருகுநிரலில் அவற்றைக் காலி செய்வது கட்டுப்பாட்டை உங்கள் சேவையகம் வலியுறுத்தும் அல்காரிதத்தை விட்டிருக்கக்கூடிய டீமனுக்குத் திருப்பித் தருகிறது, தோல்வி மேலும் மோசமாகிறது.

காலி செய்வது உதவவில்லை என்றால், உங்கள் சேவையகம் ஆவணப்படுத்தும் கடுமையான ஜோடியை ஒரு நேரத்தில் ஒரு கட்டமாக அமைக்கவும். 1 ஆம் கட்டத்தை மாற்றி, மீண்டும் இணைத்து, 2 ஆம் கட்டத்தைத் தொடும் முன் பதிவைப் படியுங்கள். சேர்க்கை இறுதியில் வேலை செய்தால், அதை சேவையக மாதிரி மற்றும் செருகுநிரல் பதிப்பின் அருகில் எழுதி வையுங்கள், ஏனெனில் இயல்புநிலைகள் மீண்டும் நகரும், அந்தக் குறிப்பே அடுத்த மேம்படுத்தலை ஐந்து நிமிடச் சரிபார்ப்பாக மாற்றுகிறது.