Το L2TP συνδέεται αλλά η διαπραγμάτευση PPP αποτυγχάνει: ποια φάση;

Η σήραγγα IPsec εγκαθίσταται, ο πελάτης δείχνει έναν προστατευμένο ομότιμο και μετά η σύνδεση πεθαίνει πριν φτάσει οτιδήποτε στο ιδιωτικό υποδίκτυο. Αυτό το κενό είναι το PPP που κάνει τη δική του δουλειά: οι επιλογές ζεύξης, η ταυτοποίηση χρήστη και η εκχώρηση διεύθυνσης συμβαίνουν όλα αφού υπάρχει η κρυπτογραφημένη σήραγγα. Τίποτε σε μια επιτυχή ανταλλαγή πρώτης φάσης δεν παρέχει κωδικό ή εσωτερική διεύθυνση. Διαβάστε τις φάσεις με τη σειρά και η αποτυχία συνήθως ονομάζει τον εαυτό της.

Η σήραγγα είναι μόνο το πρώτο στρώμα

Το L2TP μεταφέρει πλαίσια PPP μέσα σε σήραγγα προστατευμένη από IPsec, που σημαίνει ότι δύο ανεξάρτητες διαπραγματεύσεις πρέπει να πετύχουν πριν δρομολογηθεί ένα πακέτο. Η εξωτερική αποδεικνύει ότι τα δύο άκρα συμφωνούν σε κλειδιά και ταυτότητες. Η εσωτερική αποφασίζει τις παραμέτρους ζεύξης, αν ο χρήστης ταυτοποιείται και ποια διεύθυνση λαμβάνει ο πελάτης.

Μια αποτυχία μέσα στο PPP μοιάζει με σπασμένη σήραγγα σε κάθε πελάτη που δείχνει ένα μόνο φωτάκι κατάστασης. Αν την αντιμετωπίσουμε ως πρόβλημα σήραγγας, οδηγεί σε ανανέωση κλειδιών, επανεκκίνηση υπηρεσιών και τελικά σε αντικατάσταση ενός κοινόχρηστου μυστικού που ποτέ δεν ήταν λάθος. Η χρήσιμη διάκριση είναι φθηνή: αν η ανταλλαγή με τον ομότιμο ολοκληρώθηκε και ο πελάτης προχώρησε σε προτροπή ονόματος χρήστη ή σε στάδιο ταυτοποίησης, η σήραγγα είναι εντάξει. Ό,τι ακολουθεί ανήκει στο PPP.

Διαβάστε την τελευταία φάση που πέτυχε

Προχωρήστε στο αρχείο καταγραφής και σταματήστε στην πρώτη φάση που δεν ολοκληρώθηκε. Πρώτα έρχεται το LCP, μετά η ταυτοποίηση, μετά το IPCP για τις παραμέτρους IPv4.

sudo journalctl -u xl2tpd -b --no-pager | tail -n 40
sudo journalctl -b --no-pager | grep -i -E 'pppd|lcp|chap|ipcp'
ip -4 address show ppp0

Ένα χρονικό όριο LCP σημαίνει ότι τα δύο άκρα δεν συμφώνησαν ποτέ για τις βασικές επιλογές ζεύξης, που είναι ασυμφωνία προφίλ ή μπλοκαρισμένο εσωτερικό πρωτόκολλο και όχι κακός κωδικός. Μια ρητή απόρριψη ταυτοποίησης είναι η αντίθετη περίπτωση: η ζεύξη ανέβηκε και η μία πλευρά αρνήθηκε τα διαπιστευτήρια. Ένα χρονικό όριο IPCP μετά από επιτυχή ταυτοποίηση δείχνει σε δεξαμενές διευθύνσεων ή πολιτική διακομιστή. Κάθε ένα από αυτά έχει διαφορετικό ιδιοκτήτη και διαφορετική επισκευή, γι' αυτό η φάση μετράει περισσότερο από το τελικό κείμενο σφάλματος.

Κρατήστε το απόκομμα του αρχείου καταγραφής μαζί με το όνομα της φάσης στο δελτίο. Μια επικολλημένη ουρά χωρίς το όριο φάσης καλεί τον επόμενο αναγνώστη να μαντέψει, και η μαντεψιά εδώ κοστίζει μία ώρα.

Συμφωνία ανάμεσα στον πελάτη και τον διακομιστή

Και τα δύο άκρα πρέπει να δέχονται την ίδια μέθοδο ταυτοποίησης, και ένα αποθηκευμένο προφίλ μπορεί να ζητά μία που ο διακομιστής απέσυρε το προηγούμενο τρίμηνο. Οι διαχειριζόμενες εγκαταστάσεις κρύβουν επίσης την πλευρά του διακομιστή, όπου ο λόγος απόρριψης συνήθως καταγράφεται στον χρήστη και όχι στη συσκευή.

Ενεργοποιήστε μία υποστηριζόμενη μέθοδο αντί για κάθε παλιά επιλογή, γιατί ένας πελάτης που προσφέρει πέντε μεθόδους κρύβει ποια απέτυχε. Ζητήστε από τον διαχειριστή την πολιτική της πλευράς διακομιστή και την ακριβή απόρριψη, κάτι που δεν απαιτεί να δημοσιεύσει κανείς κωδικό. Μια παλιά μέθοδος που ενεργοποιείται για να σώσει έναν πελάτη τείνει να εξαπλωθεί σε κάθε προφίλ που αντιγράφει το αρχείο.

Επαληθεύστε τη διεύθυνση, όχι τη σύνδεση

Μια ολοκληρωμένη σύνδεση δεν είναι χρησιμοποιήσιμη συνεδρία. Το IPCP διαπραγματεύεται την εσωτερική διεύθυνση, και μια εξαντλημένη δεξαμενή ή μια πολιτική που αρνείται τον πελάτη μπορεί ακόμη να αφήσει συνδεδεμένη σήραγγα χωρίς τίποτε να δρομολογηθεί.

ip -4 address show ppp0
ip route get 10.52.9.1
ping -c 2 10.52.9.1

Ελέγξτε πρώτα την εσωτερική διεύθυνση, μετά τη διαδρομή και τον επιλυτή για τον πόρο που πραγματικά χρειάζεστε. Η εσωτερική διεύθυνση δεν είναι η δημόσια έξοδος που αναφέρει ένας ιστότοπος, και η σύγχυση των δύο στέλνει κόσμο να κυνηγά μια διαρροή που δεν υπάρχει. Δοκιμάστε τον ιδιωτικό πόρο με διεύθυνση πριν τον δοκιμάσετε με όνομα, ώστε μια αποτυχία DNS να μην εκληφθεί ως αποτυχία δρομολόγησης.

Γράψτε τη φάση, τη μέθοδο και τη διεύθυνση σε ένα σημείωμα και βάλτε ημερομηνία. Αν ο ίδιος λογαριασμός αποτύχει ξανά σε ένα μήνα, αυτό το σημείωμα είναι η διαφορά ανάμεσα σε έναν πεντάλεπτο έλεγχο και σε νέα έρευνα. Αποτυχίες σε διαφορετικές φάσεις είναι διαφορετικά περιστατικά, ακόμη και όταν ο πελάτης δείχνει ένα μόνο παράθυρο.