L2TP'da NO_PROPOSAL_CHOSEN? Avval shlyuzni skanerlang

Foydalanuvchi nomi so'rovi hech qachon ko'rinmaydi va mijoz NO_PROPOSAL_CHOSEN haqida xabar beradi. O'sha paytda hisob ma'lumotlari va oldindan bo'lishilgan kalit ahamiyatsiz, chunki ikki tomon 1-bosqichni qanday himoyalash bo'yicha kelishmagan. Ko'pchilik internetdan topgan shifr satrini yopishtirib javob beradi. Shlyuzni skanerlash xuddi shu savolga dalillar bilan javob beradi va taxminan shuncha vaqt oladi.

Xabar nimani istisno qiladi

Rad etish asosiy rejimda, har qanday L2TP yoki PPP almashinuvidan oldin sodir bo'ladi, shuning uchun tunnel va foydalanuvchilar bazasiga murojaat qilinmagan. 1-bosqich shifrlash, yaxlitlik va Diffie-Hellman guruhi bo'yicha muzokara olib boradi. 2-bosqich ma'lumotlar uchun ESP taklifi bo'yicha muzokara olib boradi. 1-bosqichdagi nosozlikni 2-bosqichning PFS sozlamasini o'zgartirish bilan tuzatib bo'lmaydi, va tugallangan IKE birlashmasi ESP taklifi mos kelishini isbotlamaydi.

Sintaksisni tahrirlashdan oldin backendni yozib oling: ipsec --version. libreswan va strongSwan bir xil algoritmlar uchun taklifning turli yozilishlarini qabul qiladi.

So'ngra rad etishni kontekstda bu bilan o'qing: journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Shlyuzni uning transformatsiyalar to'plami uchun skanerlang

Skaner shlyuzdan qaysi transformatsiyalar bo'yicha muzokara olib borishini to'g'ridan-to'g'ri so'raydi. Avval mahalliy IPsec xizmatini to'xtating, tekshiruv o'z mijozingiz bilan raqobatlashmasin, so'ngra SA satrlarini o'qing. Ro'yxatni qarshi tomon haqida dalil deb biling, bir yo'la yoqiladigan menyu sifatida emas.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Eski qurilmalar ko'pincha 3DES, SHA1 va MODP1024ni taklif qiladi, chunki mahsulot jo'natilganda bular standart qiymatlar edi va hech kim ularni qayta ko'rib chiqmagan. Skanerning xom chiqishini saqlang, chunki o'sha kuni qarshi tomon nima taklif qilganining yagona yozuvi shu. Agar bu mavjud eng kuchli qoplama bo'lsa, to'g'ri eskalatsiya shlyuz egasiga, hamma uchun zaif kriptografiyani qayta yoqadigan mijoz konfiguratsiyasiga emas.

Xavfsizlikni o'chirmasdan qoplamani moslashtiring

Faqat skanda ham, siyosatingizda ham uchraydigan transformatsiyalarni kiriting. Quyidagi misol 1-bosqichda 3DES, SHA1 va MODP1024 taklif qiladigan shlyuzni aks ettiradi. Backend haqidagi eslatmaga e'tibor bering: libreswan 4.x modp1024 guruhini kompilyatsiya qilmaydi, shuning uchun bu strongSwan yoki DH2 qo'llab-quvvatlaydigan libreswan qurilmasiga tegishli. Mijoz buzuq degan xulosaga kelishdan oldin versiyani tekshiring.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Oxiridagi undov belgisi bitta taklifni qotiradi. Undan testni ajratish uchun foydalaning, so'ngra olib tashlang, shlyuz keyinroq kuchliroq narsa bo'yicha muzokara qila olsin.

Qayta urinishdan oldin demon va portni tekshiring

NetworkManager-l2tp o'zining xl2tpd nusxasini ishga tushiradi. Agar tizim xizmati allaqachon UDP 1701ni egallab turgan bo'lsa, mijoz vaqtinchalik manba portiga o'tadi, RFC 3193 bunga ruxsat beradi va ba'zi serverlar uni jimgina tashlab yuboradi. Keyingi urinishdan oldin soket egasini tekshiring.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Eskirgan yaratilgan sirlar yana bir jimgina sababdir. Quyidagi fayllar /etc/ipsec.d/ eski ulanish nomi bilan atalgan fayllar ularni yaratgan profildan uzoqroq yashashi mumkin, shuning uchun hech narsa havola qilmaydiganlarini o'chirib tashlang va qayta urinib ko'ring.

Nihoyat, maslahat qayerdan kelganini tekshiring. ipsec.conf IKEv1 XAuth uchun yozilgan fayl boshqa turdagi VPNni tavsiflaydi va uning taklifi L2TP profilida yagona xato satr emas. Kiritgan transformatsiyalar to'plamini profil yoniga yozib qo'ying, keyingi odam tekshiruvni takrorlamasin.