L2TP-aikakatkaisu Ubuntussa 22.04: xl2tpd:n tunnelivirhe

Työpöytä näyttää yhteyden olevan käynnissä, IPsec ilmoittaa onnistumisesta, eikä PPP-liittymä koskaan ilmesty. Järjestelmälokissa sama tunnelinumero toistuu, kunnes yritys aikakatkaistaan UDP 1701:ssä. Ennen kuin muokkaat ennalta jaettua avainta tai palvelimen kokoonpanoa, tunnista tämä muoto: Ubuntussa 22.04 se on yleensä paketointiregressio xl2tpd:ssä, ja palvelin oli koko ajan oikein.

Mitä toistuva lokipari kertoo sinulle

Epäonnistuva istunto tulostaa kaksi riviä säännöllisin väliajoin: taustapalvelu ei löydä tunnelia saapuvalle ohjausviestille ja tulostaa sitten saamansa kutsun ja tunnelin tunnisteet. Myöhemmin uudelleenyrityslaskuri saavuttaa rajansa ja yhteys suljetaan portin 1701 aikakatkaisuun. Osoitteet ja tunnisteet ovat satunnaisia; muoto on se, mikä merkitsee. IKE valmistui, L2TP-ohjausliikenne saapui, eikä taustapalvelu kyennyt liittämään sitä jo luomaansa tunneliin.

Vika on siis L2TP-ohjauksen ja PPP:n välissä. Salaisuudesta, PPP-asetuksista tai etäaliverkosta ei ole vielä testattu mitään.

Varmista, että IPsec todella onnistui

Kaksi tarkistusta erottavat tämän tunnistetieto-ongelmasta, ja molemmat kuuluvat ennen mitään pakettimuutosta.

ipsec status
journalctl -u strongswan --since "5 min ago" | grep -i "shared key"

Tilatuloste luettelee yhteyden ja sen tilan, ja muodostettu tunneli tarkoittaa, että ensimmäinen ja toinen vaihe valmistuivat. Lokirivi puuttuvasta jaetusta avaimesta osoittaa vain salaisuuteen, joten pysähdy ja korjaa se ensin. Kun IPsec on muodostettu ja L2TP-aikakatkaisu ilmestyy edelleen, taustapalvelu on jäljellä oleva epäilty. Tallenna yhden yrityksen tarkat rivit kokonaisen päivän uudelleenyritysten sijaan.

Tarkista xl2tpd:n koontiversio, ei julkaisun nimi

Ubuntun jammy-koontiversio xl2tpd 1.3.16:sta otti käyttöön linkitysaikaisen optimoinnin, mikä rikkoi tunnelin tunnisteen jäsennyksen palvelimen SCCRP-vastauksessa. Taustapalvelu hylkää silloin ohjauspaketit tunnelille, jonka se loi itse. Versiomerkkijono on tärkeämpi kuin jakelun nimi.

dpkg -l xl2tpd
apt policy xl2tpd
apt-mark showhold

Korjattu paketti on 1.3.16-1ubuntu0.1, joten ilman sitä liitettä oleva koontiversio on korjausta vanhempi. Käytäntötuloste näyttää, minkä ehdokkaan päivitys asentaisi, ja pidätysluettelo selittää, miksi korjaus ei ole saapunut. Missä paketti on saatavilla, päivitä se ja yhdistä uudelleen normaalin profiilin kautta sen sijaan, että muokkaisit tiedostoja käsin. Älä rakenna moduuleja uudelleen äläkä vaihda salaisuutta, kun vanha koontiversio on vielä asennettu.

Varmista PPP muutoksen jälkeen

Onnistunut päivitys todistetaan sillä kerroksella, joka oli rikki. Varmista, että PPP nousi, eikä vain että kuvake muuttui.

ip -4 addr show ppp0
ip route | grep ppp

Liitäntäluettelon pitäisi näyttää paikallinen ja vastapuolen osoite, ja reititystaulun pitäisi kantaa tunnelin etuliitteet. Järjestelmälokin pitäisi näyttää, että tunneli hyväksyttiin ja pppd ilmoittaa molemmat osoitteet, ilman toistuvia rivejä tunnelia ei löytynyt. Jos PPP on ylhäällä ja liikenne epäonnistuu silti, katso seuraavaksi reititystä tai MTU:ta, koska L2TP-vaihe on tehnyt työnsä. Kirjaa toimiva pakettiversio koneen muistiinpanoihin, jotta tuleva uudelleenasennus ei palauta rikkinäistä koontiversiota.

Missä korjattua pakettia ei ole saatavilla, dokumentoidut vaihtoehdot ovat paikallinen lähdekoontiversio 1.3.16:sta tai 1.3.17:stä, siirtyminen kl2tpd:hen tai kiinnitetty versiopalautus. Jokainen tuo ylläpitokustannuksen, joka kannattaa kirjata.