L2TP-debuglog leeg? De flater sit wierskynlik yn it journal

Jo starte de L2TP-helper mei debugging, sjogge nei de terminal, en hy stoppet sûnder eat nuttichs op it skerm. Dat is gjin brutsen debugflagge. In NetworkManager L2TP-ferbining is fjouwer gearwurkjende prosessen, en mar guon dêrfan skriuwe nei de terminal dy’t jo besjogge. De rest fan it bewiis sit yn it journal, ien filter fuort.

Fjouwer prosessen, twa logbestimmings

De ferbining begjint mei IPsec, dat ôfhinklik fan ’e ynstallaasje libreswan of strongSwan is. Dan draait de L2TP-daemon, tradisjoneel xl2tpd en yn guon builds kl2tpd, de tunnel. Uteinlik docht pppd de autentikaasje en adressaasje deryn.

De helpentsjinst koördinearret dy stikken en printet syn eigen foartgong. De IPsec-daemon en pppd rapportearje meastentiids fia it systeemjournal, en dêrom lit de terminal in ferbining sjen dy’t mislearret, wylst de reden yn in bestân sit dat jo net iepenge hawwe.

Dy skieding ferklearret ek wêrom’t in PSK-flater en in wachtwurdflater fan ’e buroflakte ôf itselde lykje: beide leverje in generike ôfbrekking, en de faze dy’t mislearre is allinnich te sjen yn ’e útfier fan eltse proses. Dat is de hiele reden wêrom’t it journal hjir fan belang is. Ien generike berjocht op ’e buroflakte, fjouwer mooglike skriuwers dêrefter.

Sammelje ien poging, lês dan de oarder

Reprodusearje ien kear, mei in bekend profyl en in bekende tiid, en lês dan in smel finster ynstee fan ’e hiele opstart. It werheljen fan pogingen wylst jo ynstellingen feroarje makket it log in mingsel dat net te ynterpretearjen is.

Dizze opdrachten selektearje de dielnimmende prosessen foar de hjoeddeiske opstart, en it is de muoite wurdich it pluginpaad op jo distribúsje te befêstigjen:

journalctl -b --no-hostname _COMM=nm-l2tp-service _COMM=pluto _COMM=charon _COMM=xl2tpd _COMM=pppd
rpm -ql NetworkManager-l2tp 2>/dev/null | grep nm-l2tp-service

Werhelle fjilden yn ien oprop selektearje de uny fan dy prosessen, wat de folchoarder yn tiidfolchoarder hâldt. Op in Debian-basearre systeem is de lykweardige fraach dpkg -L; it punt is om te finen wêr’t de helper echt wennet foardat jo besykje him mei de hân te draaien.

Trije betingen beslisse de folgjende stap

Lês de earste mislearre faze, en kies dan dêrneffens. As IPsec in mislearring fan foarstel of peer-autentikaasje rapportearret, is de tunnel nea foarme, en it feroarjen fan it PPP-wachtwurd kin net helpe.

As de tunnel foarme is en pppd hat de oanmelding wegere, wie it dielde geheim al goed en sit it probleem mei de legitimaasje ien laach heger. As pppd in adres ûnderhannele hat en de mislearring ferskynt letter, wurkje beide en is it oerbleaune probleem routing, DNS of it eigen belied fan ’e server.

Dy trije tûken dekke hast elke generike ôfbrekking, en se wurde beslist troch hokker proses de lêste flater logge hat, net troch hokker flatberjocht it meast alarmearjend liket.

It is ek de muoite wurdich te befêstigjen hokker IPsec-backend ynstallearre is foardat jo in debugynstelling oanreitsje. In logopsje skreaun foar strongSwan docht neat as libreswan draait, en de ferbining sil op itselde plak mislearje wylst jo in bestân bewurkje dat nimmen lêst.

Debugmodus lit bestannen efter

De oarspronklike debugwurkstream draait de tsjinst mei de hân mei in debugflagge, en dy modus kin by it einigjen fan ’e ferbining generearre runtime-konfiguraasjebestannen efterlitte.

Dy bestannen befetsje autentikaasjemateriaal: de foarôf dielde kaai, legitimaasje of beide. In generearre konfiguraasje dy’t yn in petearfinster kopyeare is, is in iepenbaring fan legitimaasje, net in logfragmint. Ferwiderje de geheimrigels foardat jo eat diele, en wiskje de map as it ûndersyk einiget. Behannelje se as geheimen, helje de spesifike rigels derút dy’t jo foar in rapport nedich hawwe, en wiskje se dêrnei ynstee fan in map yn in ticket te plakken.

De hânmjittige eksimplaar moat ek mei de normale koördinearre wurde. It starten fan in debugkopie wylst de tsjinst al eigner is fan it plugin jout twa eigners en in log dat beide mikt, wat slimmer is as hielendal gjin debugútfier.

Werstel dêrnei de normale helper

As it ûndersyk einiget, stopje de hânmjittige eksimplaar, ferwiderje de bewarre runtime-bestannen en ferbynje jo wer fia it normale paad, sadat de folgjende persoan in konfiguraasje sjocht dy’t by de realiteit past.

Ferifiearje dan it resultaat yn ’e laach dy’t mislearre, net by it buroblêdikoantsje:

journalctl -b -u NetworkManager --since -10min | tail -30
ip -4 addr show ppp0
ip -4 route get 10.20.4.10

In sesje dy’t autentisearret, in adres krijt en nei de bedoelde bestimming rûtelet, is it resultaat dêr’t jo op debugden. In stil terminal by in mislearre poging fertelt jo allinnich wêr’t de útfier net skreaun is.