L2TP en Ubuntu 24.04 roto: ¿xl2tpd o demonio go-l2tp?

Ubuntu 24.04 cambió en silencio el demonio que hay detrás del complemento L2TP de NetworkManager. La vía anterior usaba xl2tpd; el empaquetado más reciente incorpora una implementación en Go que genera un demonio llamado kl2tpd. El complemento inicia el que esté instalado, así que la actualización puede sustituir el demonio sin tocar su perfil ni sus credenciales. Ese es todo el fallo: un mensaje de control que el nuevo demonio no reconoce.

El complemento coordina IPsec, L2TP y PPP, y luego entrega la interfaz resultante a NetworkManager. No implementa L2TP por sí mismo.

El complemento es un coordinador, no un demonio

network-manager-l2tp ejecuta el ayudante de IPsec, un demonio L2TP y PPP, y conecta la interfaz con la gestión de conexiones del escritorio. Durante años el demonio fue xl2tpd, y cada tutorial que mencionaba su configuración heredó ese supuesto. El empaquetado de Debian aceptó después cualquiera de las dos implementaciones, y 24.04 instala la de Go, que proporciona kl2tpd. Ningún campo del perfil registra qué demonio se ejecutaba antes, así que la sustitución permanece invisible hasta que se rechaza un mensaje.

Una máquina con ambos paquetes puede seguir sin ejecutar el que usted espera. La selección es decisión del complemento, no de la guía que siguió.

Lea la etapa antes de elegir una reparación

journalctl -b --no-hostname _COMM=nm-l2tp-service _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd _COMM=charon _COMM=pluto

Correlacione un solo intento entre los ayudantes en lugar de confiar en la notificación del escritorio. Esa consulta muestra dónde se detuvo la secuencia, y dpkg -l muestra qué implementación está instalada. Un fallo que aparece después de establecerse el par de IPsec y que menciona un mensaje de control o un atributo no reconocido apunta al demonio. Un fallo antes de que exista el túnel significa que nunca se alcanzó el demonio.

Una discrepancia de la clave precompartida termina en la etapa de IPsec y nombra al par. El problema de credenciales PPP aparece cuando el túnel ya está levantado y normalmente trae un rechazo CHAP o MS-CHAP legible. Ambos se ven en la misma consulta, y son problemas distintos.

Dos rutas, y no se mezclan

sudo apt install xl2tpd
sudo apt purge go-l2tp

Ese par coloca xl2tpd y luego elimina el demonio Go, dejando que el complemento elija la implementación cuyo dialecto habla la puerta de enlace. El orden importa: el complemento depende de una implementación u otra, así que purgar primero el paquete Go se lleva el complemento por delante. La segunda ruta conserva el demonio Go y pasa a una compilación más nueva que entiende el mensaje, lo que normalmente significa un PPA del mantenedor en lugar de la versión del archivo. En una flota gestionada, fijar un PPA es más fácil de justificar que enseñar a los usuarios a purgar paquetes.

No combine las dos en un solo cambio. Un fallo posterior le deja entonces sin poder decir qué mitad ayudó, y una actualización futura puede restaurar el paquete que acaba de quitar.

Ponga en el tique el binario del demonio, su versión y el mensaje exacto. Nadie puede reproducir un informe que solo dice que L2TP se rompió tras el lanzamiento, mientras que un atributo nombrado más una versión de paquete les da un punto de partida.

Tres cosas que no es

No es un problema de perfil, ya que el mismo perfil funcionaba en 22.04 con la misma puerta de enlace. No es una ruta que falte ni un cambio de cortafuegos, porque esos fallan en otro sitio con pruebas distintas. Reinstalar el complemento tampoco lo repara, ya que se vuelve a seleccionar el mismo demonio. La descripción útil nombra el demonio y el mensaje que rechazó.

Una corrección en el lado de la puerta de enlace es el otro desenlace legítimo. El firmware que deja de enviar el atributo sobrevive a cada actualización del cliente, mientras que fijar un paquete sobrevive al siguiente lanzamiento de la distribución solo si alguien recuerda por qué está fijado.

Compare las dos rutas por coste de mantenimiento en lugar de por velocidad. Ambas pueden funcionar; solo una elimina la discrepancia de dialecto.