NO_PROPOSAL_CHOSEN sa L2TP? I-scan muna ang gateway

Hindi kailanman lumilitaw ang prompt ng username, at iniuulat ng client ang NO_PROPOSAL_CHOSEN. Sa puntong iyon, ang mga kredensyal at ang paunang ibinahaging key ay walang kaugnayan, dahil hindi pa nagkasundo ang dalawang dulo kung paano poprotektahan ang phase 1. Karamihan sa mga tao ay tumutugon sa pamamagitan ng pag-paste ng cipher string na nakita nila online. Ang pag-scan sa gateway ay sumasagot sa parehong tanong na may ebidensya at tumatagal ng halos katulad din.

Ano ang hindi kasama ng mensahe

Nangyayari ang pagtanggi sa main mode, bago ang anumang palitan ng L2TP o PPP, kaya hindi pa napagtanungan ang tunnel at ang database ng user. Nakikipagkasundo ang phase 1 sa encryption, integridad at isang pangkat ng Diffie-Hellman. Nakikipagkasundo ang phase 2 sa proposal na ESP para sa data. Ang pagkabigo sa phase 1 ay hindi naaayos sa pamamagitan ng pagbabago ng PFS setting sa phase 2, at ang natapos na IKE association ay hindi nagpapatunay na angkop ang ESP proposal.

Itala ang backend bago i-edit ang syntax: ipsec --version. Tinatanggap ng libreswan at strongSwan ang magkaibang baybay ng proposal para sa parehong algorithm.

Pagkatapos, basahin ang pagtanggi sa konteksto gamit ang journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

I-scan ang gateway para sa set ng transformation nito

Direktang tinatanong ng scanner ang gateway kung aling mga transformation ang ipagkakasundo nito. Ihinto muna ang lokal na serbisyo ng IPsec upang hindi makipagkumpitensya ang probe sa sarili mong client, pagkatapos basahin ang mga linya ng SA. Ituring ang listahan bilang ebidensya tungkol sa kabilang dulo, hindi bilang menu na bubuksan nang buo.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Madalas na nag-aalok ang mas lumang appliance ng 3DES, SHA1 at MODP1024, dahil iyon ang mga default noong ipinadala ang produkto at walang nagrepaso sa mga ito. Itabi ang raw na output ng scan, dahil ito ang tanging talaan ng inialok ng kabilang dulo sa araw na iyon. Kung iyon ang pinakamalakas na overlap na available, ang tamang escalation ay sa may-ari ng gateway, hindi sa isang client configuration na muling nagbubukas ng mahinang cryptography para sa lahat.

Itugma ang overlap nang hindi pinapatay ang seguridad

Ilagay lamang ang mga transformation na lumilitaw sa scan at sa iyong patakaran. Ang halimbawa sa ibaba ay sumasalamin sa isang gateway na nag-aalok ng 3DES, SHA1 at MODP1024 sa phase 1. Pansinin ang caveat sa backend: hindi kinokompile ng libreswan 4.x ang pangkat na modp1024, kaya nalalapat ito sa strongSwan o sa isang build ng libreswan na may suporta sa DH2. I-verify ang bersyon bago magpasyang sira ang client.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Ang tandang pandamdam sa dulo ay nagpapako ng isang proposal. Gamitin ito upang ihiwalay ang isang pagsubok, pagkatapos ay alisin upang makipagkasundo ang gateway ng mas malakas sa ibang pagkakataon.

Suriin ang daemon at ang port bago subukang muli

Nagsisimula ang NetworkManager-l2tp ng sarili nitong instance ng xl2tpd. Kung may-ari na ang serbisyo ng system ng UDP 1701, lumilipat ang client sa isang ephemeral na source port, na pinapayagan ng RFC 3193 at tahimik na itinatapon ng ilang server. Suriin ang may-ari ng socket bago ang susunod na pagtatangka.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Ang mga lumang nabuong secret ay isa pang tahimik na dahilan. Ang mga file sa ilalim ng /etc/ipsec.d/ na pinangalanan para sa isang lumang koneksyon ay maaaring mabuhay nang mas matagal kaysa sa profile na gumawa sa kanila, kaya alisin ang wala namang tumutukoy at subukang muli.

Sa wakas, suriin kung saan galing ang payo. Ang isang ipsec.conf na isinulat para sa IKEv1 XAuth ay naglalarawan ng ibang uri ng VPN, at ang proposal nito ay hindi lamang ang linyang mali sa isang profile ng L2TP. Itala ang set ng transformation na inilagay mo sa tabi ng profile, upang hindi ulitin ng susunod na tao ang probe.