Ubuntu yangilanishi L2TP/IPsec ni buzdi mi? IKEv1 takliflarini solishtiring

Ulanish payshanba kuni ishlagan, yangilanish juma kuni bajarilgan, dushanba kuni esa mijoz “connecting” holatida aylanib, taslim bo'ladi. Xuddi o'sha noutbuk, xuddi o'sha server, xuddi o'sha hisob, xuddi o'sha oldindan ulashilgan kalit. Profilda hech narsa tahrirlanmagan, shuning uchun ayon gumondorlar, parol va firewall, vaqtingizni behuda sarflaydi.

O'zgargan narsa — mashinangiz taklif qilishga tayyor bo'lgan transformatsiyalar ro'yxati. Ubuntu da ishlatiladigan ikkala IPsec stek, strongSwan va Libreswan, endi xavfsiz deb hisoblamaydigan algoritmlarni olib tashlaydi, ularning oldida turgan NetworkManager plagini esa boshqa jadval bo'yicha harakatlanadigan o'z ro'yxatiga ega. 3DES, SHA1 va 1024 bitli Diffie-Hellman guruhiga bog'langan server oxir-oqibat o'zi qabul qiladigan hech narsani eshitmasligi mumkin.

Yangilanish aslida nimani o'zgartirdi

IKEv1 taklifini ikki qatlam oziqlantiradi. Daemon kompilyatsiyaga kiritilgan standart takliflar to'plamini beradi, L2TP plagini esa unga tayanadi yoki o'z ro'yxatini beradi. NetworkManager-l2tp 1.2.16 dan oldin plagin unga tayanardi, shuning uchun sizning taklifingiz o'rnatilgan daemon oqilona deb hisoblagan narsa edi. 1.2.16 dan boshlab plagin Windows va Apple mijozlari asosida modellashtirilgan hujjatlashtirilgan ro'yxat yuboradi, bu ro'yxat eski standartdan kengroq, lekin endi navbat boshidagi har bir eski birikmani o'z ichiga olmaydi.

Bu bo'linish odamlarga chalkash tuyuladigan nosozlik usulini tushuntiradi: bir xil Ubuntu versiyasidagi ikki mashina turlicha tutishi mumkin, chunki birida distributiv paketi, ikkinchisida backport bor, xatolik hisobotida ikkalasidagi daemon versiyasi bir xil ko'rinadi. Yangilanish hech qanday muhim narsani o'zgartirmagan degan xulosaga kelishdan oldin plagin versiyasini tekshiring, faqat daemon versiyasini emas.

Xuddi shu sohada kichikroq tuzoq bor. Ikki daemon elliptik egri Diffie-Hellman guruhlarini turlicha yozadi, biri ecp384, ikkinchisi ecp_384 deb yozadi. Noto'g'ri imloni Advanced muloqot oynasiga qo'ying va daemon sozlamani tahlil qilib bo'lmaydigan deb rad etadi, bu jurnalda konfiguratsiya xatosi emas, muzokara muammosi sifatida ko'rinadi.

Biror narsani o'zgartirishdan oldin nosozlikni o'qing

Qaysi backend ishlatayotganingizdan boshlang, chunki javob sintaksisni ham, jurnal joyini ham belgilaydi.

ipsec --version
nmcli connection show "Your VPN name" | grep -i ipsec

Keyin almashinuvning o'zini o'qing. strongSwan da daemon joriy versiyada journal ga, eskiroqda /var/log/syslog ga yozadi, qiziqarli qism esa oxirgi satr emas, u yuboradigan taklifdir. Siz mos taklif yo'qligi haqidagi iborani qidiryapsiz, bu algoritm muammosi; autentifikatsiya xatosi, u kalit yoki hisobga ishora qiladi; yoki oddiy timeout, u yetib borish imkoniyatiga ishora qiladi.

Bu uch natija ko'pincha bitta alomat sifatida qabul qilinadi. Bo'sh daemon jurnali bilan timeout paketlar kelmayotganini bildiradi. Taklifning rad etilishi ular kelgan va rad qilinganligini bildiradi. Agar jurnalingiz jim bo'lsa, bitta urinish uchun plagin debug darajasini oshiring va keyin tushiring, chunki batafsil chiqish journal ni tez to'ldiradi.

1-faza va 2-faza alohida garovlar

IKEv1 ikki marta muzokara qiladi. Asosiy rejim IKE xavfsizlik assotsiatsiyasini shifrlash algoritmi, yaxlitlik algoritmi, Diffie-Hellman guruhi va autentifikatsiya usulidan quradi. Keyin tez rejim L2TP ni tashiydigan ESP assotsiatsiyasini quradi. Server birinchisini qabul qilib, ikkinchisini rad etishga erkin, shuning uchun yarim to'g'ri profil kutganingizdan kechroq muvaffaqiyatsiz bo'ladi va boshqa xatoga o'xshaydi.

Phase 1: 3des-sha1-modp1024!
Phase 2: 3des-sha1!

Undov belgisi strongSwan sintaksisida qat'iy yozuv degani: faqat shu bitta birikmani taklif qil, boshqa hech narsani emas. Usiz yozuv zaxira ro'yxatiga qo'shiladi, bu qarshi tomon zamonaviy bo'lsa yaxshi, bitta qattiq kodlangan siyosatli qurilma bo'lsa zararli. Yuqoridagi juftlikni shaklning misoli deb biling, bugun qurayotgan har qanday narsa uchun tavsiya sifatida emas.

Bitta maydonni o'zgartiring, keyin testni takrorlang

Joriy plaginda eng tez birinchi test ikkala taklif maydonini butunlay tozalab, qayta ulanib ko'rishdir, chunki berilgan standart ro'yxatda odatiy Windows va Apple birikmalari allaqachon bor. Eskiroq plaginda ularni tozalash boshqaruvni serveringiz talab qiladigan algoritmni tashlab yuborgan bo'lishi mumkin bo'lgan daemonga qaytaradi, nosozlik esa yanada yomonlashadi.

Agar tozalash yordam bermasa, serveringiz hujjatlashtiradigan qat'iy juftlikni bir fazadan o'rnating. 1-fazani o'zgartiring, qayta ulanib, 2-fazaga tegishdan oldin jurnalni o'qing. Birikma nihoyat ishlaganda, uni server modeli va plagin versiyasi yoniga yozib qo'ying, chunki standart qiymatlar yana siljiydi va o'sha yozuv keyingi yangilanishni besh daqiqalik tekshiruvga aylantiradi.