Prázdný ladicí protokol L2TP? Chyba bude nejspíš v systémovém žurnálu

Spustíte pomocníka L2TP s laděním, díváte se na terminál a on se zastaví, aniž by na obrazovce bylo něco užitečného. To není rozbitý ladicí přepínač. Připojení NetworkManager L2TP tvoří čtyři spolupracující procesy a jen některé z nich zapisují do terminálu, který sledujete. Zbytek důkazů je v žurnálu, jeden filtr daleko.

Čtyři procesy, dvě místa zápisu

Připojení začíná protokolem IPsec, což je podle instalace buď libreswan, nebo strongSwan. Pak tunel pohání démon L2TP, tradičně xl2tpd a v některých sestaveních kl2tpd. Nakonec pppd uvnitř zajišťuje autentizaci a adresování.

Pomocná služba tyto části koordinuje a tiskne vlastní průběh. Démon IPsec a pppd obvykle hlásí přes systémový žurnál, a proto terminál ukazuje selhávající připojení, zatímco důvod leží v souboru, který jste neotevřeli.

Toto rozdělení také vysvětluje, proč chyba PSK a chyba hesla vypadají z plochy stejně: obě vytvoří obecné odpojení a fázi, která selhala, je vidět jen ve výstupu jednotlivých procesů. Právě proto je tu žurnál důležitý. Jedna obecná zpráva na ploše, čtyři možní autoři za ní.

Seberte jeden pokus a pak čtěte pořadí

Reprodukujte to jednou, se známým profilem a známým časem, a pak čtěte úzké okno místo celého startu. Opakování pokusů při změně nastavení mění protokol ve směs, kterou nelze vyložit.

Tyto příkazy vybírají zúčastněné procesy pro aktuální start a cestu k pluginu stojí za to ověřit ve vaší distribuci:

journalctl -b --no-hostname _COMM=nm-l2tp-service _COMM=pluto _COMM=charon _COMM=xl2tpd _COMM=pppd
rpm -ql NetworkManager-l2tp 2>/dev/null | grep nm-l2tp-service

Opakovaná pole v jednom volání vybírají sjednocení těchto procesů, což zachová pořadí v časovém sledu. V systému založeném na Debianu je ekvivalentní dotaz dpkg -L; jde o to najít, kde pomocník skutečně sídlí, než ho zkusíte spustit ručně.

Další krok určují tři podmínky

Přečtěte první selhanou fázi a podle toho vyberte. Pokud IPsec hlásí selhání návrhu nebo autentizace protějšku, tunel vůbec nevznikl a změna hesla PPP nepomůže.

Pokud tunel vznikl a pppd přihlášení odmítl, sdílené tajemství už bylo v pořádku a problém s přihlašovacími údaji je o vrstvu výš. Pokud pppd vyjednal adresu a selhání se objeví později, obojí funguje a zbývajícím problémem je směrování, DNS nebo vlastní politika serveru.

Tyto tři větve pokrývají téměř každé obecné odpojení a rozhoduje o nich to, který proces zaznamenal poslední chybu, nikoli to, která chybová zpráva vypadá nejhrozivěji.

Také stojí za to ověřit, které backendové řešení IPsec je nainstalované, než se dotknete nastavení ladění. Volba protokolování napsaná pro strongSwan nic nedělá, když běží libreswan, a připojení bude dál selhávat na stejném místě, zatímco budete upravovat soubor, který nikdo nečte.

Ladicí režim zanechává soubory

Původní ladicí postup spouští službu ručně s ladicím přepínačem a tento režim může po skončení připojení ponechat vygenerované konfigurační soubory běhového prostředí na místě.

Tyto soubory obsahují autentizační materiál: předsdílený klíč, přihlašovací údaje, nebo obojí. Vygenerovaná konfigurace zkopírovaná do okna chatu je vyzrazení přihlašovacích údajů, nikoli výňatek z protokolu. Před sdílením čehokoli odstraňte řádky s tajemstvím a po skončení vyšetřování adresář smažte. Berte je jako tajemství, vytáhněte konkrétní řádky potřebné pro zprávu a poté je smažte, místo abyste vkládali adresář do tiketu.

Ruční instance se také musí sladit s normální. Spuštění ladicí kopie, když služba už plugin vlastní, vytvoří dva vlastníky a protokol, který míchá oba, což je horší než žádný ladicí výstup.

Poté obnovte normálního pomocníka

Až vyšetřování skončí, zastavte ruční instanci, odstraňte ponechané běhové soubory a připojte se znovu normální cestou, aby další člověk viděl konfiguraci, která odpovídá skutečnosti.

Poté výsledek ověřte ve vrstvě, která selhala, ne na ikoně plochy:

journalctl -b -u NetworkManager --since -10min | tail -30
ip -4 addr show ppp0
ip -4 route get 10.20.4.10

Relace, která se autentizuje, získá adresu a směruje k zamýšlenému cíli, je výsledek, který jste ladili. Tichý terminál během neúspěšného pokusu vám říká jen kde výstup nebyl zapsán.