L2TP unter Ubuntu 24.04 defekt: xl2tpd oder go-l2tp-Daemon?

Ubuntu 24.04 hat still den Daemon hinter dem L2TP-Plugin von NetworkManager ausgetauscht. Der ältere Weg nutzte xl2tpd; die neuere Paketierung zieht eine Go-Implementierung ein, die einen Daemon namens kl2tpd erzeugt. Das Plugin startet, was installiert ist, sodass das Upgrade den Daemon ersetzen kann, ohne Ihr Profil oder Ihre Zugangsdaten anzutasten. Das ist der ganze Fehler: eine Steuernachricht, die der neue Daemon nicht erkennt.

Das Plugin koordiniert IPsec, L2TP und PPP und übergibt die entstehende Schnittstelle dann an NetworkManager. Es implementiert L2TP nicht selbst.

Das Plugin ist ein Koordinator, kein Daemon

network-manager-l2tp startet den IPsec-Helfer, einen L2TP-Daemon und PPP und bindet die Schnittstelle in die Verbindungsverwaltung des Desktops ein. Jahrelang war der Daemon xl2tpd, und jede Anleitung, die seine Konfiguration erwähnte, erbte diese Annahme. Die Debian-Paketierung akzeptierte später beide Implementierungen, und 24.04 installiert die Go-Variante, die kl2tpd bereitstellt. Kein Feld im Profil hält fest, welcher Daemon zuvor lief, deshalb bleibt der Austausch unsichtbar, bis eine Nachricht abgelehnt wird.

Ein Rechner mit beiden Paketen führt trotzdem nicht unbedingt die erwartete Variante aus. Die Auswahl trifft das Plugin, nicht die Anleitung, der Sie gefolgt sind.

Lesen Sie die Stufe, bevor Sie eine Reparatur wählen

journalctl -b --no-hostname _COMM=nm-l2tp-service _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd _COMM=charon _COMM=pluto

Korrelieren Sie einen einzelnen Versuch über die Helfer hinweg, statt der Desktop-Benachrichtigung zu vertrauen. Diese Abfrage zeigt, wo die Sequenz anhielt, und dpkg -l zeigt, welche Implementierung installiert ist. Ein Fehler, der nach dem Aufbau des IPsec-Peers auftritt und eine Steuernachricht oder ein unbekanntes Attribut nennt, deutet auf den Daemon. Ein Fehler, bevor der Tunnel existiert, bedeutet, dass der Daemon nie erreicht wurde.

Eine Abweichung beim vorab geteilten Schlüssel endet in der IPsec-Stufe und nennt den Peer. PPP-Zugangsdatenprobleme zeigen sich, sobald der Tunnel steht, und tragen normalerweise eine lesbare CHAP- oder MS-CHAP-Ablehnung. Beides ist in derselben Abfrage sichtbar, und es sind verschiedene Probleme.

Zwei Wege, und sie mischen sich nicht

sudo apt install xl2tpd
sudo apt purge go-l2tp

Dieses Paar setzt xl2tpd ein und entfernt dann den Go-Daemon, sodass das Plugin die Implementierung wählt, deren Dialekt das Gateway spricht. Die Reihenfolge zählt: Das Plugin hängt von der einen oder der anderen Implementierung ab, daher reißt das Entfernen des Go-Pakets zuerst das Plugin mit. Der zweite Weg behält den Go-Daemon und wechselt zu einem neueren Build, der die Nachricht versteht, was meist ein Maintainer-PPA statt der Archivversion bedeutet. In einer verwalteten Flotte lässt sich ein PPA leichter rechtfertigen, als Nutzern das Entfernen von Paketen beizubringen.

Kombinieren Sie die beiden nicht in einer Änderung. Ein späterer Fehler lässt Sie dann nicht sagen, welche Hälfte geholfen hat, und ein künftiges Upgrade kann das gerade entfernte Paket zurückbringen.

Schreiben Sie das Daemon-Binary, seine Version und die genaue Meldung ins Ticket. Niemand kann einen Bericht nachvollziehen, der nur sagt, L2TP sei nach dem Release kaputt, während ein benanntes Attribut plus Paketversion einen Ansatzpunkt gibt.

Drei Dinge, die es nicht ist

Es ist kein Profilproblem, denn dasselbe Profil funktionierte unter 22.04 mit demselben Gateway. Es ist keine fehlende Route und keine Firewall-Änderung, denn diese scheitern anderswo mit anderen Belegen. Eine Neuinstallation des Plugins hilft ebenfalls nicht, da derselbe Daemon erneut gewählt wird. Die nützliche Beschreibung nennt den Daemon und die abgelehnte Nachricht.

Eine Korrektur auf der Gateway-Seite ist der andere legitime Ausgang. Firmware, die das Attribut nicht mehr sendet, übersteht jedes Client-Upgrade, während ein festgenageltes Paket die nächste Distributionsversion nur übersteht, wenn jemand sich erinnert, warum es festgenagelt ist.

Vergleichen Sie die beiden Wege nach Wartungskosten statt nach Geschwindigkeit. Beide können funktionieren; nur einer beseitigt die Dialektabweichung.