После обновления с strongswan-5.9.14-alt4 до strongswan-6.1.0-alt1, перестал работать L2TP (IKEv1), я так понимаю его выпилили https://bugzilla.altlinux.org/55736 Есть обходные меры, так как поменять на IKEv2 нет возможности шлюз старый.
Вывод команды -nmcli connection show GPMU connection.id: GPMU connection.uuid: b907144b-ead7-476f-b0f5-c6174b75fb72 connection.stable-id: -- connection.type: vpn connection.interface-name: -- connection.autoconnect: нет connection.autoconnect-priority: 0 connection.autoconnect-retries: -1 (default) connection.multi-connect: 0 (default) connection.auth-retries: -1 connection.timestamp: 1790011440 connection.permissions: user:a1exak connection.zone: -- connection.controller: -- connection.master: -- connection.slave-type: -- connection.port-type: -- connection.autoconnect-slaves: -1 (default) connection.autoconnect-ports: -1 (default) connection.down-on-poweroff: -1 (default) connection.secondaries: -- connection.gateway-ping-timeout: 0 connection.ip-ping-timeout: 0 connection.ip-ping-addresses: -- connection.ip-ping-addresses-require-all:-1 (default) connection.metered: неизвестно connection.metered: неизвестно connection.lldp: default connection.mdns: -1 (default) connection.llmnr: -1 (default) connection.dns-over-tls: -1 (default) connection.mptcp-flags: 0x0 (default) connection.wait-device-timeout: -1 connection.wait-activation-delay: -1 ipv4.method: auto ipv4.dns: -- ipv4.dns-search: -- ipv4.dns-options: -- ipv4.dns-priority: 0 ipv4.addresses: -- ipv4.gateway: -- ipv4.routes: -- ipv4.route-metric: -1 ipv4.route-table: 0 (unspec) ipv4.routing-rules: -- ipv4.replace-local-rule: -1 (default) ipv4.dhcp-send-release: -1 (default) ipv4.routed-dns: -1 (default) ipv4.ignore-auto-routes: нет ipv4.ignore-auto-dns: нет ipv4.dhcp-client-id: -- ipv4.dhcp-iaid: -- ipv4.dhcp-dscp: -- ipv4.dhcp-timeout: 0 (default) ipv4.dhcp-send-hostname-deprecated: да ipv4.dhcp-send-hostname: -1 (default) ipv4.forwarding: -1 (default) ipv4.dhcp-hostname: -- ipv4.dhcp-fqdn: -- ipv4.dhcp-hostname-flags: 0x0 (none) ipv4.never-default: нет ipv4.may-fail: да ipv4.required-timeout: -1 (default) ipv4.dad-timeout: -1 (default) ipv4.dhcp-vendor-class-identifier: -- ipv4.dhcp-ipv6-only-preferred: -1 (default) ipv4.link-local: 0 (default) ipv4.dhcp-reject-servers: -- ipv4.auto-route-ext-gw: -1 (default) ipv4.shared-dhcp-range: -- ipv4.shared-dhcp-lease-time: 0 (default) ipv6.method: auto ipv6.dns: -- ipv6.dns-search: -- ipv6.dns-options: -- ipv6.dns-priority: 0 ipv6.addresses: -- ipv6.gateway: -- ipv6.routes: -- ipv6.route-metric: -1 ipv6.route-table: 0 (unspec) ipv6.routing-rules: -- ipv6.replace-local-rule: -1 (default) ipv6.dhcp-send-release: -1 (default) ipv6.routed-dns: -1 (default) ipv6.ignore-auto-routes: нет ipv6.ignore-auto-dns: нет ipv6.never-default: нет ipv6.may-fail: да ipv6.required-timeout: -1 (default) ipv6.ip6-privacy: -1 (default) ipv6.temp-valid-lifetime: 0 (default) ipv6.temp-preferred-lifetime: 0 (default) ipv6.addr-gen-mode: default ipv6.ra-timeout: 0 (default) ipv6.mtu: автоматически ipv6.dhcp-pd-hint: -- ipv6.dhcp-duid: -- ipv6.dhcp-iaid: -- ipv6.dhcp-timeout: 0 (default) ipv6.dhcp-send-hostname-deprecated: да ipv6.dhcp-send-hostname: -1 (default) ipv6.dhcp-hostname-flags: 0x0 (none) ipv6.auto-route-ext-gw: -1 (default) ipv6.token: -- vpn.service-type: org.freedesktop.NetworkManager.l2tp vpn.user-name: -- vpn.data: gateway = XXX.XXX.XXX.XXX, ipsec-enabled = yes, ipsec-psk-flags = 0, machine-auth-type = psk, mru = 1400, mtu = 1400, password-flags = 1, user = <имя>@<домен>, u> vpn.secrets: <hidden> vpn.persistent: нет vpn.timeout: 0 proxy.method: none proxy.browser-only: нет proxy.pac-url: -- proxy.pac-script: --
Подтверждаю: причина известна и задокументирована в #55736, комментарий #3 (glinkinvd@, 2026-09-17). strongswan-6.1.0-alt1 собран без поддержки IKEv1: в upstream strongSwan 6.1.0 IKEv1 отключён по умолчанию и теперь требует явной сборки с --enable-ikev1 (в будущих версиях IKEv1 планируется удалить совсем). В спеке пакета параметр --enable-ikev1 в %configure не добавлен, в логе сборки его также нет. На стенде strongswan-6.1.0-alt1 при попытке инициировать IKEv1-соединение отвечает "IKE version 1 not supported" ещё до отправки IKE-пакетов. То есть это не ошибка конфигурации, а регрессия сборки пакета при обновлении до 6.1.0. Обходные меры (пока шлюз не поддерживает IKEv2): 1. Пересобрать strongswan с --enable-ikev1 (собственно, это и есть предлагаемый фикс: добавить параметр в %configure спека). 2. Откатиться на strongswan-5.9.14-alt4 и удерживать версию до исправления пакета. 3. Использовать libreswan для IKEv1 L2TP/IPsec — IKEv1 там поддерживается, а сам L2TP обслуживает xl2tpd, который не зависит от IPsec-стека. Примечание: L2TP/IPsec с IKEv2 в 6.1.0-alt1 работает (проверено на стенде в #55736: transport mode, ~6 GiB TCP, rekey и reconnect — без проблем), ломается именно IKEv1-конфигурация.
(Ответ для Alexander Makeenkov на комментарий #2) > Примечание: L2TP/IPsec с IKEv2 в 6.1.0-alt1 работает (проверено на стенде в > #55736: transport mode, ~6 GiB TCP, rekey и reconnect — без проблем), > ломается именно IKEv1-конфигурация. Доброго дня. не работает оно... по крайней мере у меня после обновления 14 сентября моей регулярки, отвалилось возможность подключения через L2TP/IPsec, хотя с той стороны (географически + другой провайдер) на Айдеко включен и привязан ко мне IKEv2/IPsec, соединение скидывается
(Ответ для Aleksandr Shamaraev на комментарий #3) > не работает оно... по крайней мере у меня после обновления 14 сентября моей > регулярки, отвалилось возможность подключения через L2TP/IPsec, хотя с той > стороны (географически + другой провайдер) на Айдеко включен и привязан ко > мне IKEv2/IPsec, соединение скидывается Я разобрался в чем лично у меня причина. Осталось только проверить.. ну думаю Вы правы, что L2TP/IPsec с IKEv2 работает
(Ответ для Aleksandr Shamaraev на комментарий #4) > (Ответ для Aleksandr Shamaraev на комментарий #3) > > не работает оно... по крайней мере у меня после обновления 14 сентября моей > > регулярки, отвалилось возможность подключения через L2TP/IPsec, хотя с той > > стороны (географически + другой провайдер) на Айдеко включен и привязан ко > > мне IKEv2/IPsec, соединение скидывается > > Я разобрался в чем лично у меня причина. Осталось только проверить.. ну > думаю Вы правы, что L2TP/IPsec с IKEv2 работает Добрый вечер. И в чем же косяк если не секрет. Так же Ideco L2TP/IPsec перестал подключаться
(Ответ для Чурилов Александр на комментарий #5) > (Ответ для Aleksandr Shamaraev на комментарий #4) > > (Ответ для Aleksandr Shamaraev на комментарий #3) > > > не работает оно... по крайней мере у меня после обновления 14 сентября моей > > > регулярки, отвалилось возможность подключения через L2TP/IPsec, хотя с той > > > стороны (географически + другой провайдер) на Айдеко включен и привязан ко > > > мне IKEv2/IPsec, соединение скидывается > > > > Я разобрался в чем лично у меня причина. Осталось только проверить.. ну > > думаю Вы правы, что L2TP/IPsec с IKEv2 работает > > Добрый вечер. И в чем же косяк если не секрет. Так же Ideco L2TP/IPsec > перестал подключаться Выше написал-же выше: Обходные меры (пока шлюз не поддерживает IKEv2): 1. Пересобрать strongswan с --enable-ikev1 (собственно, это и есть предлагаемый фикс: добавить параметр в %configure спека). 2. Откатиться на strongswan-5.9.14-alt4 и удерживать версию до исправления пакета. 3. Использовать libreswan для IKEv1 L2TP/IPsec — IKEv1 там поддерживается, а сам L2TP обслуживает xl2tpd, который не зависит от IPsec-стека.
Уважаемый монтейнер, можете - Пересобрать strongswan с --enable-ikev1 (собственно, это и есть предлагаемый фикс: добавить параметр в %configure спека)?
(Ответ для Чурилов Александр на комментарий #5) > Добрый вечер. И в чем же косяк если не секрет. Так же Ideco L2TP/IPsec > перестал подключаться Ну методом копания выяснелось, что не проходит авторизацию на айдеке, идет возврат по логу на клиенте NetworkManager[28407]: received AUTHENTICATION_FAILED notify error ну это при условии что стоит галка использовать IKEv2 при использовании IKEv1 идет [IKE] IKE version 1 not supported но кстати, это касается не только альта, справедливости ради проверели еще на другом ос.. при испльзовании IKEv2 получили тоже самое, по этому тут либо руки моего админа, либо что-то в айдеке.. в ТП им написали, пока они молчат, по крайней мере на момент когда я админом последний раз разговаривал
*** Bug 61093 has been marked as a duplicate of this bug. ***
