L2TP cassé sous Ubuntu 24.04 : xl2tpd ou démon go-l2tp ?

Ubuntu 24.04 a discrètement remplacé le démon derrière le greffon L2TP de NetworkManager. L’ancien chemin utilisait xl2tpd ; le paquetage plus récent apporte une implémentation en Go qui produit un démon nommé kl2tpd. Le greffon démarre celui qui est installé, donc la mise à niveau peut remplacer le démon sans toucher à votre profil ni à vos identifiants. C’est toute la panne : un message de contrôle que le nouveau démon ne reconnaît pas.

Le greffon coordonne IPsec, L2TP et PPP, puis remet l’interface obtenue à NetworkManager. Il n’implémente pas L2TP lui-même.

Le greffon est un coordinateur, pas un démon

network-manager-l2tp lance l’assistant IPsec, un démon L2TP et PPP, et raccorde l’interface à la gestion des connexions du bureau. Pendant des années le démon fut xl2tpd, et chaque tutoriel mentionnant sa configuration héritait de cette hypothèse. Le paquetage Debian a ensuite accepté l’une ou l’autre implémentation, et 24.04 installe celle en Go, qui fournit kl2tpd. Aucun champ du profil n’enregistre quel démon tournait auparavant, la substitution reste donc invisible jusqu’au rejet d’un message.

Une machine où les deux paquets sont présents peut toujours ne pas exécuter celui que vous attendez. Le choix revient au greffon, non au guide que vous avez suivi.

Lisez l’étape avant de choisir une réparation

journalctl -b --no-hostname _COMM=nm-l2tp-service _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd _COMM=charon _COMM=pluto

Corrélez une seule tentative entre les assistants au lieu de vous fier à la notification du bureau. Cette requête montre où la séquence s’est arrêtée, et dpkg -l montre quelle implémentation est installée. Une panne qui apparaît après l’établissement du pair IPsec et qui mentionne un message de contrôle ou un attribut inconnu désigne le démon. Une panne avant l’existence du tunnel signifie que le démon n’a jamais été atteint.

Un désaccord de clé prépartagée se termine à l’étape IPsec et nomme le pair. Un problème d’identifiants PPP apparaît une fois le tunnel monté et porte normalement un rejet CHAP ou MS-CHAP lisible. Les deux sont visibles dans la même requête, et ce sont des problèmes différents.

Deux voies, et elles ne se mélangent pas

sudo apt install xl2tpd
sudo apt purge go-l2tp

Cette paire installe xl2tpd puis retire le démon Go, laissant le greffon choisir l’implémentation dont la passerelle parle le dialecte. L’ordre compte : le greffon dépend de l’une ou l’autre implémentation, donc purger d’abord le paquet Go emporte le greffon avec lui. La seconde voie garde le démon Go et passe à une compilation plus récente qui comprend le message, ce qui signifie généralement un PPA de mainteneur plutôt que la version de l’archive. Sur un parc géré, épingler un PPA se justifie plus facilement qu’apprendre aux utilisateurs à purger des paquets.

Ne combinez pas les deux dans une seule modification. Une panne ultérieure vous laisserait alors incapable de dire quelle moitié a aidé, et une future mise à niveau peut restaurer le paquet que vous venez de retirer.

Mettez dans le ticket le binaire du démon, sa version et le message exact. Personne ne peut reproduire un rapport qui dit seulement que L2TP a cassé après la sortie, tandis qu’un attribut nommé plus une version de paquet leur donne un point de départ.

Trois choses que ce n’est pas

Ce n’est pas un problème de profil, puisque le même profil fonctionnait sous 22.04 avec la même passerelle. Ce n’est pas une route manquante ni un changement de pare-feu, car ceux-ci échouent ailleurs avec d’autres preuves. Réinstaller le greffon ne le répare pas non plus, puisque le même démon est de nouveau choisi. La description utile nomme le démon et le message qu’il a rejeté.

Une correction côté passerelle est l’autre issue légitime. Un firmware qui cesse d’envoyer l’attribut survit à chaque mise à niveau du client, tandis qu’un paquet épinglé ne survit à la distribution suivante que si quelqu’un se souvient pourquoi il est épinglé.

Comparez les deux voies sur le coût de maintenance plutôt que sur la vitesse. Les deux peuvent fonctionner ; une seule supprime le décalage de dialecte.