L2TP es connecta però la negociació PPP falla: quina fase?

El túnel IPsec s'estableix, el client mostra un parell protegit i després la connexió mor abans que res arribi a la subxarxa privada. Aquest buit és PPP fent la seva pròpia feina: les opcions d'enllaç, l'autenticació d'usuari i l'assignació d'adreça passen totes després que el túnel xifrat ja existeixi. Res d'un intercanvi reeixit de primera fase no proporciona una contrasenya ni una adreça interna. Llegeix les fases per ordre i la fallada normalment s'anomena tota sola.

El túnel només és la primera capa

L2TP transporta trames PPP dins d'un túnel protegit per IPsec, cosa que significa que dues negociacions independents han de reeixir abans que es pugui encaminar un paquet. L'exterior demostra que els dos extrems coincideixen en claus i identitats. La interior decideix els paràmetres de l'enllaç, si l'usuari s'autentica i quina adreça rep el client.

Una fallada dins de PPP sembla un túnel trencat en cada client que només mostra un llum d'estat. Tractar-la com un problema de túnel porta a regenerar claus, reiniciar serveis i, finalment, substituir un secret compartit que mai no era incorrecte. La distinció útil és barata: si l'intercanvi amb el parell s'ha completat i el client ha passat a una petició de nom d'usuari o a una etapa d'autenticació, el túnel està bé. Tot el que ve després d'aquest punt pertany a PPP.

Llegeix l'última fase que ha reeixit

Recorre el registre cap endavant i atura't a la primera fase que no s'ha completat. Primer ve LCP, després l'autenticació i després IPCP per als paràmetres d'IPv4.

sudo journalctl -u xl2tpd -b --no-pager | tail -n 40
sudo journalctl -b --no-pager | grep -i -E 'pppd|lcp|chap|ipcp'
ip -4 address show ppp0

Un temps d'espera d'LCP vol dir que els dos extrems no han acordat mai les opcions bàsiques de l'enllaç, cosa que és un perfil que no coincideix o un protocol intern bloquejat, no una contrasenya dolenta. Un rebuig explícit d'autenticació és el cas contrari: l'enllaç s'ha aixecat i un costat ha refusat les credencials. Un temps d'espera d'IPCP després d'una autenticació reeixida apunta a conjunts d'adreces o a la política del servidor. Cada cas té un propietari diferent i una reparació diferent, i per això la fase importa més que el text final de l'error.

Guarda el fragment del registre juntament amb el nom de la fase al tiquet. Una cua enganxada sense la frontera de fase convida el lector següent a endevinar, i endevinar aquí costa una hora.

Acord entre el client i el servidor

Els dos extrems han d'acceptar el mateix mètode d'autenticació, i un perfil desat pot demanar-ne un que el servidor va retirar el trimestre passat. Els desplegaments gestionats també amaguen el costat del servidor, on el motiu del rebuig normalment es registra contra l'usuari i no contra el dispositiu.

Activa un mètode compatible en lloc de cada opció heretada, perquè un client que n'ofereix cinc amaga quin ha fallat. Demana a l'administrador la política del costat del servidor i el rebuig exacte, cosa que no requereix que ningú publiqui una contrasenya. Un mètode heretat activat per salvar un sol client tendeix a escampar-se a cada perfil que copia el fitxer.

Verifica l'adreça, no l'inici de sessió

Un inici de sessió complet no és una sessió utilitzable. IPCP negocia l'adreça interna, i un conjunt esgotat o una política que denega el client encara poden deixar un túnel connectat sense res per encaminar.

ip -4 address show ppp0
ip route get 10.52.9.1
ping -c 2 10.52.9.1

Comprova primer l'adreça interna, després la ruta i el resolutor per al recurs que realment necessites. Una adreça interna no és la sortida pública que informa un lloc web, i confondre les dues coses envia la gent a caçar una fuita que no hi és. Prova el recurs privat per adreça abans de provar-lo pel nom, perquè una fallada de DNS no es prengui per una fallada d'encaminament.

Escriu la fase, el mètode i l'adreça en una sola nota i data-la. Si el mateix compte torna a fallar d'aquí a un mes, aquesta nota és la diferència entre una comprovació de cinc minuts i una investigació nova. Les fallades en fases diferents són incidents diferents, encara que el client mostri un sol diàleg.