يتصل L2TP لكن تفاوض PPP يفشل: أي مرحلة؟

يُقام نفق IPsec، ويعرض العميل نظيرًا محميًا، ثم يموت الاتصال قبل أن يصل أي شيء إلى الشبكة الفرعية الخاصة. تلك الفجوة هي PPP وهو يؤدي عمله الخاص: خيارات الرابط ومصادقة المستخدم وتعيين العنوان كلها تحدث بعد وجود النفق المشفَّر. لا شيء في تبادل ناجح للمرحلة الأولى يوفّر كلمة مرور أو عنوانًا داخليًا. اقرأ المراحل بالترتيب وعادة ما يسمّي الفشل نفسه.

النفق ليس سوى الطبقة الأولى

L2TP يحمل إطارات PPP داخل نفق محمي بـ IPsec، ما يعني أن مفاوضتين مستقلتين يجب أن تنجحا قبل أن تُوجَّه أي حزمة. الخارجية تثبت أن الطرفين متفقان على المفاتيح والهويات. والداخلية تحدد معاملات الرابط، وما إذا كان المستخدم يُصادَق، وأي عنوان يتلقاه العميل.

الفشل داخل PPP يبدو كنفق معطوب في كل عميل يعرض ضوء حالة واحدًا. معاملته كمشكلة نفق تؤدي إلى إعادة توليد المفاتيح وإعادة تشغيل الخدمات ثم استبدال سر مشترك لم يكن خاطئًا قط. التمييز المفيد رخيص: إذا اكتمل تبادل النظير وانتقل العميل إلى طلب اسم مستخدم أو مرحلة مصادقة، فالنفق سليم. وكل ما بعد تلك النقطة يخص PPP.

اقرأ آخر مرحلة نجحت

امشِ في السجل إلى الأمام ثم توقّف عند أول مرحلة لم تكتمل. يأتي LCP أولًا، ثم المصادقة، ثم IPCP لمعاملات IPv4.

sudo journalctl -u xl2tpd -b --no-pager | tail -n 40
sudo journalctl -b --no-pager | grep -i -E 'pppd|lcp|chap|ipcp'
ip -4 address show ppp0

انتهاء مهلة LCP يعني أن الطرفين لم يتفقا أبدًا على خيارات الرابط الأساسية، وهو عدم توافق في الملف الشخصي أو حجب بروتوكول داخلي لا كلمة مرور سيئة. رفض المصادقة الصريح هو الحالة المعاكسة: فقد ارتفع الرابط ورفض أحد الطرفين بيانات الاعتماد. انتهاء مهلة IPCP بعد مصادقة ناجحة يشير إلى مجموعات العناوين أو سياسة الخادم. ولكل من ذلك مالك مختلف وإصلاح مختلف، ولهذا تهم المرحلة أكثر من نص الخطأ النهائي.

احتفظ بمقتطف السجل مع اسم المرحلة في التذكرة. الذيل الملصوق دون حد المرحلة يدعو القارئ التالي إلى التخمين، والتخمين هنا يكلّف ساعة.

التوافق بين العميل والخادم

يجب أن يقبل الطرفان طريقة المصادقة نفسها، وقد يطلب ملف شخصي محفوظ طريقة أوقفها الخادم في الربع الماضي. كما تخفي عمليات النشر المُدارة الجانب الخادم، حيث يُسجَّل سبب الرفض عادةً على المستخدم لا على الجهاز.

فعِّل طريقة مدعومة واحدة بدلًا من كل خيار قديم، لأن عميلًا يعرض خمس طرق يحجب أيها فشل. اطلب من المسؤول سياسة الجانب الخادم والرفض المحدد، وهذا لا يتطلب أن ينشر أحد كلمة مرور. والطريقة القديمة التي تُفعَّل لإنقاذ عميل واحد تميل إلى الانتشار إلى كل ملف شخصي ينسخ الملف.

تحقق من العنوان، لا من تسجيل الدخول

تسجيل الدخول المكتمل ليس جلسة قابلة للاستخدام. يتفاوض IPCP على العنوان الداخلي، ومجموعة مستنفدة أو سياسة ترفض العميل قد تترك نفقًا متصلًا دون شيء يُوجَّه.

ip -4 address show ppp0
ip route get 10.52.9.1
ping -c 2 10.52.9.1

افحص العنوان الداخلي أولًا، ثم المسار والمحلّل للمورد الذي تحتاجه فعلًا. العنوان الداخلي ليس المنفذ العام الذي يبلّغ عنه موقع ويب، والخلط بينهما يرسل الناس للبحث عن تسريب غير موجود. اختبر المورد الخاص بالعنوان قبل اختباره بالاسم، حتى لا يُفهم فشل DNS على أنه فشل في التوجيه.

اكتب المرحلة والطريقة والعنوان في ملاحظة واحدة وأرّخها. إذا فشل الحساب نفسه مرة أخرى بعد شهر، فتلك الملاحظة هي الفرق بين فحص من خمس دقائق وتحقيق جديد. فشلٌ في مراحل مختلفة حوادث مختلفة، حتى عندما يعرض العميل نافذة واحدة.