L2TP: o'limli signal 15, NO_PROPOSAL_CHOSEN va yo'qolgan modp1024

Ulanish muzlab qoladi, mijoz chiqadi va ekrandagi oxirgi satr death_handler: Fatal signal 15 received bo'ladi. Bu satr uzilish haqida xabar beradi, sabab haqida emas. IPsec jurnalida bir satr yuqorida deyarli doim NO_PROPOSAL_CHOSEN bo'ladi va bu juftlik almashinuvning 2-bosqichiga ishora qiladi, u yerda tomonlar shifrlash va xesh tanlovlarini solishtirib, umumiy narsa bo'lmasa to'xtaydi. Bu bosqichda kirish ma'lumotlari hali yuborilmagan, shuning uchun parolni qayta terish natijani o'zgartira olmaydi.

Linux mijozida bu kesishmani odatda ikki narsa bo'shatadi. Mahalliy daemon profil talab qilgan Diffie-Hellman guruhini endi amalga oshirmasligi mumkin, yoki profil 1-bosqich taklifini 2-bosqich maydonida olib yurishi mumkin. Ikkalasi ham jurnalda iz qoldiradi va hech biri hisob muammosi emas.

Ikki xabar aslida nima deydi

IKE bosqichlar bilan kelishadi. 1-bosqich himoyalangan kanal quradi va o'z algoritmlarini tanlaydi; 2-bosqich, ya'ni bola SA, trafikni alohida to'plam ostida tashiydi. NO_PROPOSAL_CHOSEN — taklif qilingan birikmalardan hech biri maqbul bo'lmaganda javob beruvchi qaytaradigan bildirishnoma, u INFORMATIONAL almashinuvi ichida [ HASH N(NO_PROP) ] ko'rinishida paydo bo'ladi.

15-signal boshqa hodisa: nimadir mahalliy jarayonga to'xtashni buyurdi va ishlov beruvchi buni yozib qo'ydi. Ikki satr birga paydo bo'lsa, tartib sababiy: avval rad etish, so'ng o'chirish.

Kirish ma'lumotlariga tegishdan oldin muzokarani o'qing

Jurnal darajasini daemon yozadigan joyda oshiring, so'ng chiqishni kuzatib qayta ulanib chiqing. NetworkManager xostida L2TP plagini bu darajani backendga uzatadi va xabarlar tarqatishga qarab journal yoki klassik syslog fayliga tushadi. Bulardan birortasi almashinuvni ko'rsatadi: journalctl -f -u NetworkManager | grep -Ei 'pluto|charon|no_prop|proposal' yoki tail -f /var/log/syslog | grep -Ei 'pluto|charon|ike'.

pluto nomini tilga olgan satr libreswandan, charon strongSwandan keladi va ikkalasi bir holatni turli so'zlar bilan tasvirlaydi. Qidirishga arziydigan shakl — yo'qolgan guruhni nomlaydigan shakl, masalan algorithm 'modp1024' is not supported, chunki u noaniq nosozlikni aniq nosozlikka aylantiradi.

modp1024 qayerga ketdi

Diffie-Hellman 2-guruhi shunchalik zaifki, bir nechta tarqatma 3.30 dan boshlab uni libreswan ichiga kompilyatsiya qilishni to'xtatdi. Shunda yillar oldin yozilgan yoki faqat aes128-sha1-modp1024 ro'yxatini beradigan shlyuz qo'llanmasidan olingan profil mahalliy daemondan u umuman qila olmaydigan narsani talab qiladi. Yangi NetworkManager-l2tp qurilmalari bu natijani ehtimoliyroq qiladi: 1.2.16 dan boshlab ular to'plamni Windows 10 va iOS uslubidagi takliflar bilan almashtiradi va libreswan aniqlanishi bilanoq modp1024 ni tashlab ketadi. Qarshi tomon ko'pincha aybsiz va hanuz siz sozlagan guruhning o'zini taklif qiladi.

Aynan shu asimmetriya nosozlikni tasodifiy ko'rsatadi. Eski mijoz ulanadi, yangilangan noutbukda o'sha profil ulanmaydi, server konfiguratsiyasi esa hech qachon qimirlamagan. Zararni versiyalar tafovuti keltiradi.

Ta'siri har xil ikki tuzatish

Arzon tuzatish — algoritmlarni qo'lda qotirib yozishni to'xtatish. Tahrirlovchida ikkala taklif maydonini bo'shating va plaginga uzoq tomon qabul qiladigan to'plamni tanlashga ruxsat bering; agar shlyuz zamonaviy guruhlarni qo'llab-quvvatlasa, muzokara qo'shimcha ishsiz yakunlanadi.

Ikkinchi tuzatish strongSwanni o'rnatish orqali eski shlyuzni ochiq saqlaydi, uning paketlari ko'pchilik tarqatmalarda hali ham 2-guruhni amalga oshiradi. Bu daemon almashtirish, shuning uchun narxi bor: olib tashlashdan oldin xostdagi boshqa tunnellar libreswan konfiguratsiyasiga bog'liqmi yo'qmi tekshiring va Fedorada NetworkManager bilan strongSwan plagini orasida SELinux rad javoblari bo'lishini kuting. O'sha rad javoblar IKE izida emas, audit jurnalida ko'rinadi, shuning uchun muvaffaqiyatli o'rnatishdan so'ng darhol tunnel buzilgandek tuyulishi mumkin. Ishlaydigan tartib: avval dnf install strongswan, so'ng rpm -e libreswan.

Mos keladigan taklif satrlari va ularning atrofidagi tuzoqlar

Maydonlarni qo'lda to'ldirish kerak bo'lsa, 1-bosqich va 2-bosqich har xil qiymat oladi. Meraki uslubidagi qarshi tomonga qarshi ishlashi ma'lum bo'lgan juftlik 1-bosqichda aes128-sha1-modp1024 va uning orqasida 3des-sha1-modp1024 taklif qiladi, ikkalasi ham to'plamni qat'iy qiladigan undov belgisi bilan yopiladi, shuning uchun faqat o'sha takliflar yuboriladi.

So'ng 2-bosqich o'sha qat'iy belgi bilan va Diffie-Hellman qo'shimchasiz aes128-sha1 va 3des-sha1 gacha torayadi. -modp1024 olib yurgan 2-bosqich satri noto'g'ri maydondagi 1-bosqich qiymati, va javob beruvchi uni har bir qayta urinishda rad etadi. O'sha satrni ikkinchi profilga ko'chiring, ikkinchi profil ham xuddi shunday muvaffaqiyatsiz bo'ladi va shu bilan bitta terish xatosi butun flot uchun hodisaga aylanadi.

Boshqa nosozliklar taklif nomuvofiqligi bo'lmasa ham o'sha qalqib chiquvchi oynani kiyadi. KDE da L2TP turi plagin o'rnatilgan holda ro'yxatda bo'lishi mumkin, lekin har bir ulanish darhol o'ladi, chunki ulanish muharriri va ishlash vaqti yordamchilari alohida paketlar sifatida keladi. Ekransiz xostlar ishlayotgan ish stolidagi profilni qayta ishlatishi mumkin: uni /etc/NetworkManager/system-connections/ dan ko'chiring, rejimni 600 ga qo'ying, so'ng nmcli con reload ni ishga tushiring. Uni nmcli con up id work-l2tp bilan ko'taring, chunki yalang'och shakl UUID talab qiladi, va har qanday eskirgan ifname yozuvini olib tashlang, aks holda qolgan hamma narsa to'g'ri bo'lsa ham menejer Could not find source connection deb javob beradi.

Oldindan bo'lishilgan kalit ochiq matn sifatida yoki 0s va undan keyin base64 sifatida saqlanishi mumkin; ikkala shakl ham ishlaydi, lekin qiymat shlyuz bilan bayt-bayt mos kelishi kerak, u bilan birga ko'chirilgan oxirgi bo'sh joylar ham.