L2TP'de NO_PROPOSAL_CHOSEN? Önce ağ geçidini tarayın

Kullanıcı adı isteminden önce başarısız olan bir L2TP/IPsec istemcisi 1. aşama üzerinde hiç anlaşmamıştır. Şifre dizeleri yapıştırmak yerine ağ geçidinin öneri kümesini tarayın.

Kullanıcı adı istemi hiç görünmez ve istemci NO_PROPOSAL_CHOSEN bildirir. O noktada kimlik bilgileri ve önceden paylaşılan anahtar önemsizdir, çünkü iki uç 1. aşamanın nasıl korunacağı konusunda anlaşmamıştır. Çoğu insan çevrimiçi buldukları bir şifre dizesini yapıştırarak yanıt verir. Ağ geçidini taramak aynı soruyu kanıtlarla yanıtlar ve yaklaşık aynı süreyi alır.

Mesaj neyi dışlar

Ret, ana modda, herhangi bir L2TP veya PPP alışverişinden önce gerçekleşir, bu nedenle tünele ve kullanıcı veritabanına hiç başvurulmamıştır. 1. aşama şifreleme, bütünlük ve bir Diffie-Hellman grubu üzerinde pazarlık eder. 2. aşama veri için ESP önerisi üzerinde pazarlık eder. 1. aşamadaki bir arıza 2. aşamanın PFS ayarı değiştirilerek giderilemez, ve tamamlanmış bir IKE ilişkilendirmesi ESP önerisinin uygun olduğunu kanıtlamaz.

Sözdizimini düzenlemeden önce backend'i kaydedin: ipsec --version. libreswan ve strongSwan aynı algoritmalar için önerinin farklı yazımlarını kabul eder.

Ardından reddi şu komutla bağlamında okuyun: journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Ağ geçidini dönüşüm kümesi için tarayın

Bir tarayıcı ağ geçidine hangi dönüşümler üzerinde pazarlık edeceğini doğrudan sorar. Önce yerel IPsec hizmetini durdurun ki sonda kendi istemcinizle rekabet etmesin, ardından SA satırlarını okuyun. Listeyi karşı taraf hakkında kanıt olarak görün, tamamen açılacak bir menü olarak değil.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Eski cihazlar genellikle 3DES, SHA1 ve MODP1024 sunar, çünkü bunlar ürün sevk edildiğinde varsayılan değerlerdi ve kimse bunları yeniden gözden geçirmedi. Taramanın ham çıktısını saklayın, çünkü karşı tarafın o gün ne sunduğunun tek kaydı odur. Bu, mevcut en güçlü örtüşmeyse, doğru yükseltme ağ geçidi sahibine yapılır; herkes için zayıf şifrelemeyi yeniden açan bir istemci yapılandırmasına değil.

Güvenliği kapatmadan örtüşmeyi eşleştirin

Yalnızca hem taramada hem de politikanızda görünen dönüşümleri girin. Aşağıdaki örnek, 1. aşamada 3DES, SHA1 ve MODP1024 sunan bir ağ geçidini yansıtır. Backend uyarısına dikkat edin: libreswan 4.x modp1024 grubunu derlemez, bu nedenle bu strongSwan veya DH2 desteği olan bir libreswan derlemesi için geçerlidir. İstemcinin bozuk olduğu sonucuna varmadan önce sürümü doğrulayın.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Sondaki ünlem işareti tek bir öneriyi sabitler. Bir testi yalıtmak için kullanın, ardından ağ geçidinin daha sonra daha güçlü bir şey pazarlık edebilmesi için kaldırın.

Yeniden denemeden önce arka plan programını ve bağlantı noktasını denetleyin

NetworkManager-l2tp kendi xl2tpd örneğini başlatır. Sistem hizmeti zaten UDP 1701'e sahipse, istemci geçici bir kaynak bağlantı noktasına geçer; RFC 3193 buna izin verir ve bazı sunucular bunu sessizce düşürür. Bir sonraki denemeden önce soketin sahibini denetleyin.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Eski üretilmiş sırlar bir başka sessiz nedendir. Şu konumdaki dosyalar /etc/ipsec.d/ eski bir bağlantı için adlandırılmışsa, onları oluşturan profilden daha uzun yaşayabilir, bu yüzden hiçbir şeyin başvurmadığı dosyaları silin ve yeniden deneyin.

Son olarak, tavsiyenin nereden geldiğini denetleyin. ipsec.conf IKEv1 XAuth için yazılmış bir dosya farklı bir VPN türünü tanımlar ve önerisi L2TP profilinde yanlış olacak tek satır değildir. Girdiğiniz dönüşüm kümesini profilin yanına kaydedin, böylece bir sonraki kişi taramayı tekrarlamaz.

İlgili makaleler