L2TP-Option fehlt im Netzwerkdialog: Was installiert werden muss

Sie fügen eine VPN-Verbindung hinzu, suchen L2TP/IPsec in der Liste, und es ist nicht da. Oder es ist da, das Profil wird gespeichert, und die Verbindung stirbt mit einer Meldung über ein Plugin. Beide Symptome deuten auf einen Stapel Pakete hin, die unabhängig voneinander installiert werden, und der Dialog zeigt Ihnen nur dessen Ende. Kartieren Sie die Teile, bevor Sie irgendetwas installieren.

Beginnen Sie beim Stapel, nicht beim Menü

Die Option erscheint, wenn der Manager ein Plugin findet, das diesen VPN-Typ anbietet. Dieses Plugin wiederum braucht zur Laufzeit einen L2TP-Daemon und eine IPsec-Implementierung sowie ein PPP-Modul für die Verbindung selbst. Jedes davon ist ein eigenes Paket mit eigener Abhängigkeitskette, und eine Distribution kann sie in Kombinationen ausliefern, die nur teilweise vollständig sind. Einen IPsec-Daemon allein zu installieren, fügt der Liste nichts hinzu, weil der Manager nicht nach ihm sucht. Lesen Sie zuerst die installierten Plugins und arbeiten Sie sich dann nach unten.

Ein fehlender Menüeintrag ist eine Frage der Paketierung. Es ist fast nie eine Konfigurationsfrage, so sehr es auch danach aussieht.

Bearbeiten und Ausführen sind getrennte Pakete

Das Dienst-Plugin stellt Verbindungen her, und eine Editor-Komponente ist das, was ein Desktop-Einstellungsfenster die Protokolloptionen anzeigen und speichern lässt. Sie werden getrennt gepackt, und manche Distributionen liefern das eine ohne das andere. Das Ergebnis ist eine Verbindung, die existiert, über die Kommandozeile gestartet werden kann und im grafischen Werkzeug nicht bearbeitet werden kann.

Schauen Sie sich die laufende Desktop-Umgebung an, bevor Sie einen Paketnamen wählen. Die Bearbeitungskomponente von GNOME ist nicht dasselbe Paket wie ein KDE-Frontend, und eine Distribution kann jede davon umbenennen. Nehmen Sie den Namen aus der Paketliste der jeweiligen Veröffentlichung.

Das PPP-Plugin liegt auf einem versionierten Pfad

L2TP läuft über PPP, und das Plugin, das der Dienst lädt, ist gegen eine bestimmte PPP-Version gebaut, also liegt es in einem Verzeichnis, das nach dieser Version benannt ist. Ein Rezept, das einen älteren Pfad hartkodiert, beschreibt die Maschine, auf der es geschrieben wurde. Wenn die Version hier abweicht, wird das Plugin nicht gefunden, so sorgfältig der Befehl auch kopiert wurde.

Das ist das stärkste Argument für das Paket der Distribution statt eines kopierten Builds. Paketbetreuer verfolgen diesen Pfad; eine kopierte configure-Zeile tut das nicht.

Ein Aushandlungsfehler ist kein Installationsfehler

Sobald die Option existiert und das Profil gespeichert wird, ist der nächste Fehler eine andere Problemklasse. Dass ein Peer die Authentifizierung ablehnt, ist das IPsec-Backend, das Ihnen etwas Bestimmtes sagt.

Lesen Sie das eigene Protokoll des Backends, bevor Sie irgendetwas neu installieren. Das Journal des Managers zeigt das Plugin bei der Übergabe und den IPsec-Daemon bei der Meldung, warum er gestoppt hat, und diese beiden Zeilen zusammen zeigen, welche Seite abgelehnt hat. Einen Editor neu zu installieren behebt keinen abgelehnten vorab geteilten Schlüssel, und ein Plugin neu zu installieren behebt keinen Server, der andere Vorschläge erwartet. Trennen Sie die Schichten in Ihren Notizen, bevor Sie ein Paket anfassen.

Zwei Geheimnisse, zwei Felder

IPsec-Authentifizierung und die PPP-Anmeldung des Benutzers sind unabhängige Geheimnisse, die zufällig im selben Dialog stehen. Das eine authentifiziert die Maschinen, das andere authentifiziert eine Person gegenüber dem L2TP-Dienst, und ein Server kann das eine akzeptieren und das andere ablehnen.

Setzen Sie das Kontopasswort in das PPP-Feld und das gemeinsam genutzte Geheimnis in das IPsec-Feld, und prüfen Sie dann, über welches von beiden das Protokoll geklagt hat. Ein Passwort in ein Feld für ein geteiltes Geheimnis zu kopieren, weil beide Eingaben maskiert sind, ist ein häufiger und völlig stiller Fehler. Halten Sie die Paketversionen fest, bei denen Sie gelandet sind, denn die nächste Maschine braucht dieselbe Kombination, und der Dialog wird niemandem sagen, welche das ist.