NO_PROPOSAL_CHOSEN lori L2TP? Ṣàyẹ̀wò ẹnu-ọ̀nà náà kọ́kọ́

Ìbéèrè orúkọ olùmúlò kò farahàn rárá, ẹ̀rọ náà sì ròyìn NO_PROPOSAL_CHOSEN. Ní àkókò yẹn àwọn ẹ̀rí ìwọlé àti bọ́tìnnì tí a pín tẹ́lẹ̀ kò ṣe pàtàkì, nítorí àwọn ẹgbẹ́ méjèèjì kò gbà lórí bí wọ́n yóò ṣe dáàbò bo ìpele 1. Ọ̀pọ̀ ènìyàn dáhùn nípa lílẹ̀mọ́ okùn cipher tí wọ́n rí lórí ayélujára. Ṣíṣàyẹ̀wò ẹnu-ọ̀nà náà dáhùn ìbéèrè kan náà pẹ̀lú ẹ̀rí ó sì gba àkókò kan náà.

Ohun tí ìfiránṣẹ́ náà yọ kúrò

Ìyọkúrò náà wáyé ní ipò àkọ́kọ́, ṣáájú ìpààrọ̀ L2TP tàbí PPP èyíkéyìí, nítorí náà a kò béèrè tunnel tàbí ibi ìpamọ́ dátà olùmúlò. Ìpele 1 ń ṣe ìdúnàádúrà lórí ìṣíkó, ìwà tọ́ àti ẹgbẹ́ Diffie-Hellman kan. Ìpele 2 ń ṣe ìdúnàádúrà lórí ìgbèrò ESP fún dátà. Ìkùnà ní ìpele 1 kò lè ṣe àtúnṣe nípa yíyí ètò PFS ní ìpele 2 padà, àti ìsopọ̀ IKE tí ó ti parí kò fi hàn pé ìgbèrò ESP bá a mu.

Ṣàkọsílẹ̀ backend ṣáájú ṣíṣàtúnṣe syntax: ipsec --version. libreswan àti strongSwan gba àwọn ìkọ̀wé ìgbèrò ọ̀tọ̀ọ̀tọ̀ fún àwọn algorithm kan náà.

Lẹ́yìn náà ka ìyọkúrò náà nínú àyíká pẹ̀lú journalctl --no-hostname _COMM=nm-l2tp-service _COMM=ipsec _COMM=pluto _COMM=charon _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd.

Ṣàyẹ̀wò ẹnu-ọ̀nà náà fún àkójọpọ̀ ìyípadà rẹ̀

Ẹ̀rọ ṣíṣàyẹ̀wò béèrè lọ́wọ́ ẹnu-ọ̀nà ní tààrà irú àwọn ìyípadà tí yóò dúnàádúrà lé lórí. Kọ́kọ́ dá iṣẹ́ IPsec àdúgbò dúró kí ìwádìí náà má bàa di ìdíje pẹ̀lú ẹ̀rọ rẹ, lẹ́yìn náà ka àwọn ìlà SA. Wo àkójọ náà gẹ́gẹ́ bí ẹ̀rí nípa ẹ̀gbẹ́ kejì, kì í ṣe àkójọ àṣàyàn láti tan gbogbo rẹ̀.

sudo ipsec stop
sudo ike-scan --trans=3des-sha1-modp1024 10.10.10.250 | grep SA=

Àwọn ẹ̀rọ àtijọ́ sábà máa ń pèsè 3DES, SHA1 àti MODP1024, nítorí pé wọ́n jẹ́ àìlèyí padà nígbà tí a fi ọjà ránṣẹ́ kò sì sí ẹni tí ó tún wò wọ́n. Tọ́jú jáde àìlèyí ṣàyẹ̀wò náà, nítorí pé òun ni àkọsílẹ̀ kan ṣoṣo ohun tí ẹ̀gbẹ́ kejì pèsè ní ọjọ́ yẹn. Bí èyí bá ni ìbámu tí ó lágbára jùlọ tí ó wà, ìgbéga tí ó tọ́ ni sí ọ̀dọ́ ẹni tí ó ni ẹnu-ọ̀nà náà, kì í ṣe sí ìṣètò ẹ̀rọ tí ó tún tan ìṣíkó aláìlágbára fún gbogbo ènìyàn.

Bá ìbámu náà mu láìtan ààbò

Tẹ àwọn ìyípadà tí ó farahàn nínú ṣàyẹ̀wò àti nínú ìlànà rẹ pẹ̀lú nìkan. Àpẹẹrẹ̀ ìsàlẹ̀ yìí fi ẹnu-ọ̀nà tí ó pèsè 3DES, SHA1 àti MODP1024 ní ìpele 1 hàn. Ṣàkíyèsí ìkìlọ̀ nípa backend: libreswan 4.x kò ṣe àkópọ̀ ẹgbẹ́ modp1024, nítorí náà èyí kan strongSwan tàbí ìkọ́ libreswan tí ó ní àtìlẹ́yìn DH2. Ṣèdánwò ẹ̀yà náà ṣáájú kí o tó parí pé ẹ̀rọ náà ti bàjẹ́.

Phase 1: 3des-sha1-modp1024
Phase 2: aes256-sha1,aes128-sha1,3des-sha1

Àmì ìyanu ní ìparí fi ìgbèrò kan pàlẹ̀. Lò ó láti ya ìdánwò kan sọ́tọ̀, lẹ́yìn náà yọ ọ́ kúrò kí ẹnu-ọ̀nà lè dúnàádúrà lórí ohun tí ó lágbára jù lẹ́yìn náà.

Ṣàyẹ̀wò daemon àti ibudo náà ṣáájú kí o tó gbìyànjú lẹ́ẹ̀kan sí

NetworkManager-l2tp bẹ̀rẹ̀ ẹ̀dá xl2tpd tirẹ̀. Bí iṣẹ́ ẹ̀rọ bá ti ni UDP 1701 tẹ́lẹ̀, ẹ̀rọ náà yóò pada sí ibudo orísun àìpẹ́, èyí tí RFC 3193 gbà àti tí àwọn server kan máa ń fi sílẹ̀ ní ìdákẹ́jẹ́. Ṣàyẹ̀wò ẹni tí ó ni socket ṣáájú ìgbìyànjú tó ń bọ̀.

sudo ss -unlp | grep 1701
sudo systemctl stop xl2tpd.service
sudo systemctl disable xl2tpd.service

Àwọn àṣírí tí a ti dá tẹ́lẹ̀ jẹ́ ìdí mìíràn tí ó dákẹ́. Àwọn fáìlì tí ó wà lábẹ́ /etc/ipsec.d/ tí a fi orúkọ ìsopọ̀ àtijọ́ sọ ni wọ́n lè gbé pẹ́ ju profile tí ó dá wọn lọ, nítorí náà yọ àwọn tí kò sí ohun tí ó tọ́ka sí wọ́n kúrò kí o sì gbìyànjú lẹ́ẹ̀kan sí.

Níkẹyìn, ṣàyẹ̀wò ibi tí ìmọ̀ràn náà ti wá. ipsec.conf tí a kọ fún IKEv1 XAuth ṣàpèjúwe irú VPN mìíràn, ìgbèrò rẹ̀ kì í sì ṣe ìlà kan ṣoṣo tí yóò jẹ́ aṣiṣe nínú profile L2TP. Ṣàkọsílẹ̀ àkójọpọ̀ ìyípadà tí o tẹ sẹ́gbẹ̀ẹ́ profile náà, kí ẹni tó ń bọ̀ má bàa tún ṣe ìwádìí náà.