Ubuntu అప్‌గ్రేడ్ L2TP/IPsec ను విరిచిందా? IKEv1 ప్రతిపాదనలను పోల్చండి

కనెక్షన్ గురువారం పనిచేసింది, అప్గ్రేడ్ శుక్రవారం నడిచింది, సోమవారం క్లయింట్ “connecting” వద్ద తిరుగుతూ వదిలేస్తుంది. అదే ల్యాప్టాప్, అదే సర్వర్, అదే ఖాతా, అదే ముందుగా పంచుకున్న కీ. ప్రొఫైల్లో ఏదీ సవరించబడలేదు, అందుకే స్పష్టమైన అనుమానితులు, పాస్వర్డ్ మరియు ఫైర్వాల్, మీ సమయాన్ని వృథా చేస్తాయి.

మారినది మీ యంత్రం అందించడానికి సిద్ధంగా ఉన్న రూపాంతరాల జాబితా. Ubuntu లో ఉపయోగించే రెండు IPsec స్టాక్లు, strongSwan మరియు Libreswan, ఇకపై సురక్షితమని భావించని అల్గారిథమ్లను తొలగిస్తాయి, అవి ముందున్న NetworkManager ప్లగిన్కు వేరే షెడ్యూల్లో కదిలే సొంత జాబితా ఉంది. 3DES, SHA1 మరియు 1024 బిట్ Diffie-Hellman గ్రూప్కు పిన్ చేయబడిన సర్వర్ చివరికి తాను అంగీకరించే ఏదీ వినకపోవచ్చు.

అప్‌గ్రేడ్ నిజంగా ఏమి మార్చింది

IKEv1 ప్రతిపాదనను రెండు పొరలు పోషిస్తాయి. డీమన్ కంపైల్ చేసిన డిఫాల్ట్ ప్రతిపాదన సెట్ను అందిస్తుంది, L2TP ప్లగిన్ దానిపై ఆధారపడుతుంది లేదా సొంత జాబితాను ఇస్తుంది. NetworkManager-l2tp 1.2.16 కు ముందు ప్లగిన్ దానిపై ఆధారపడింది, కాబట్టి మీ ప్రతిపాదన ఇన్స్టాల్ చేసిన డీమన్ సరైనదిగా భావించినది. 1.2.16 నుండి ప్లగిన్ Windows మరియు Apple క్లయింట్ల ఆధారంగా రూపొందించిన డాక్యుమెంటెడ్ జాబితాను పంపుతుంది, ఆ జాబితా పాత డిఫాల్ట్ కంటే విస్తృతం కానీ క్యూ ముందున్న ప్రతి పాత కలయికను ఇకపై కలిగి ఉండదు.

ఆ విభజన ప్రజలకు గందరగోళంగా అనిపించే వైఫల్య విధానాన్ని వివరిస్తుంది: ఒకే Ubuntu విడుదలపై రెండు యంత్రాలు వేర్వేరుగా ప్రవర్తించవచ్చు, ఎందుకంటే ఒకదానిలో పంపిణీ ప్యాకేజీ ఉంది మరొకదానిలో backport ఉంది, బగ్ నివేదికలో రెండింటిపై డీమన్ వెర్షన్ ఒకేలా కనిపిస్తుంది. అప్గ్రేడ్ సంబంధిత ఏదీ మార్చలేదని నిర్ధారించే ముందు ప్లగిన్ వెర్షన్ను తనిఖీ చేయండి, డీమన్ వెర్షన్ మాత్రమే కాదు.

అదే ప్రాంతంలో చిన్న ఉచ్చు ఉంది. రెండు డీమన్లు దీర్ఘవృత్తాకార వక్ర Diffie-Hellman గ్రూపులను వేర్వేరుగా రాస్తాయి, ఒకటి ecp384 అని మరొకటి ecp_384 అని రాస్తాయి. తప్పు స్పెల్లింగ్ను Advanced సంభాషణలో అతికించండి, డీమన్ ఆ సెట్టింగ్ను విశ్లేషించలేనిదిగా తిరస్కరిస్తుంది, అది లాగ్లో కాన్ఫిగరేషన్ టైపింగ్ పొరపాటుగా కాకుండా చర్చా సమస్యగా కనిపిస్తుంది.

ఏదైనా మార్చే ముందు వైఫల్యాన్ని చదవండి

మీరు ఏ బ్యాకెండ్ నడుపుతున్నారో దానితో ప్రారంభించండి, ఎందుకంటే సమాధానం సింటాక్స్ మరియు లాగ్ స్థానాన్ని రెండింటినీ నిర్ణయిస్తుంది.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

తర్వాత మార్పిడిని చదవండి. strongSwan లో డీమన్ ప్రస్తుత విడుదలలో journal కు, పాత దానిలో /var/log/syslog కు రాస్తుంది, ఆసక్తికరమైన భాగం చివరి పంక్తి కాదు, అది పంపే ప్రతిపాదన. మీరు వెతుకుతున్నది సరిపోలే ప్రతిపాదన లేదు అనే పదబంధం, అది అల్గారిథమ్ సమస్య; ప్రామాణీకరణ వైఫల్యం, అది కీ లేదా ఖాతా వైపు సూచిస్తుంది; లేదా సాధారణ టైమౌట్, అది చేరుకోగల సామర్థ్యం వైపు సూచిస్తుంది.

ఈ మూడు ఫలితాలను చాలా సార్లు ఒకే లక్షణంగా పరిగణిస్తారు. ఖాళీ డీమన్ లాగ్తో టైమౌట్ అంటే ప్యాకెట్లు రావడం లేదు. ప్రతిపాదన తిరస్కరణ అంటే అవి వచ్చి తిరస్కరించబడ్డాయి. మీ లాగ్ నిశ్శబ్దంగా ఉంటే, ఒక ప్రయత్నానికి ప్లగిన్ డీబగ్ స్థాయిని పెంచి తర్వాత తగ్గించండి, ఎందుకంటే వివరమైన అవుట్పుట్ journal ను త్వరగా నింపుతుంది.

దశ 1 మరియు దశ 2 వేర్వేరు పందాలు

IKEv1 రెండుసార్లు చర్చలు జరుపుతుంది. ప్రధాన మోడ్ IKE భద్రతా సంఘాన్ని ఎన్క్రిప్షన్ అల్గారిథమ్, సమగ్రత అల్గారిథమ్, Diffie-Hellman గ్రూప్ మరియు ప్రామాణీకరణ పద్ధతి నుండి నిర్మిస్తుంది. తర్వాత వేగవంతమైన మోడ్ L2TP ను మోసుకెళ్లే ESP సంఘాన్ని నిర్మిస్తుంది. సర్వర్ మొదటిదాన్ని అంగీకరించి రెండవదాన్ని తిరస్కరించడానికి స్వేచ్ఛగా ఉంటుంది, కాబట్టి సగం సరైన ప్రొఫైల్ మీరు ఊహించిన దానికంటే ఆలస్యంగా విఫలమవుతుంది, వేరే బగ్గా కనిపిస్తుంది.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

ఆశ్చర్యార్థకం strongSwan సింటాక్స్లో కఠినమైన నమోదు: ఈ ఒక కలయికను మాత్రమే అందించండి, మరేదీ లేదు. అది లేకుండా నమోదు ప్రత్యామ్నాయ జాబితాలో చేరుతుంది, ఎదుటివారు ఆధునికంగా ఉన్నప్పుడు అది మంచిది, ఒకే కఠినంగా కోడ్ చేసిన విధానం ఉన్న పరికరం అయినప్పుడు హానికరం. పైన ఉన్న జతను రూపం యొక్క ఉదాహరణగా భావించండి, ఈరోజు మీరు నిర్మిస్తున్న ఏదైనా కోసం సిఫార్సుగా కాదు.

ఒక ఫీల్డ్ మార్చి, తర్వాత పరీక్షను పునరావృతం చేయండి

ప్రస్తుత ప్లగిన్లో అత్యంత వేగవంతమైన మొదటి పరీక్ష రెండు ప్రతిపాదన ఫీల్డ్లను పూర్తిగా ఖాళీ చేసి మళ్లీ కనెక్ట్ చేయడం, ఎందుకంటే అందించిన డిఫాల్ట్ జాబితాలో సాధారణ Windows మరియు Apple కలయికలు ఇప్పటికే ఉన్నాయి. పాత ప్లగిన్లో వాటిని ఖాళీ చేయడం నియంత్రణను మీ సర్వర్ పట్టుబట్టే అల్గారిథమ్ను వదిలేసి ఉండవచ్చు అనే డీమన్కు తిరిగి ఇస్తుంది, వైఫల్యం మరింత దిగజారుతుంది.

ఖాళీ చేయడం సహాయపడకపోతే, మీ సర్వర్ డాక్యుమెంట్ చేసే కఠినమైన జతను ఒకసారి ఒక దశగా సెట్ చేయండి. దశ 1 మార్చి, మళ్లీ కనెక్ట్ అవ్వండి, దశ 2 ను తాకే ముందు లాగ్ చదవండి. కలయిక చివరికి పనిచేసినప్పుడు, దాన్ని సర్వర్ మోడల్ మరియు ప్లగిన్ వెర్షన్ పక్కన రాసి పెట్టుకోండి, ఎందుకంటే డిఫాల్ట్లు మళ్లీ కదులుతాయి, ఆ నోట్ తదుపరి అప్గ్రేడ్ను ఐదు నిమిషాల తనిఖీగా మారుస్తుంది.