Az L2TP csatlakozik, de a PPP egyeztetés elbukik: melyik fázis?

Az IPsec-alagút létrejön, a kliens védett partnert mutat, aztán a kapcsolat meghal, mielőtt bármi elérné a privát alhálózatot. Ez a rés a PPP saját munkája: a kapcsolat beállításai, a felhasználó hitelesítése és a címkiosztás mind azután történik, hogy a titkosított alagút létezik. Egy sikeres első fázisú csere sem ad jelszót vagy belső címet. Olvassa a fázisokat sorrendben, és a hiba általában megnevezi magát.

Az alagút csak az első réteg

Az L2TP PPP-kereteket szállít egy IPsec-védett alagúton belül, ami azt jelenti, hogy két független egyeztetésnek kell sikerülnie, mielőtt egy csomagot irányítani lehet. A külső bizonyítja, hogy a két végpont egyetért a kulcsokban és az identitásokban. A belső dönt a kapcsolat paramétereiről, arról, hogy hitelesíti-e magát a felhasználó, és hogy milyen címet kap a kliens.

A PPP-n belüli hiba minden olyan kliensben törött alagútnak látszik, amely csak egy állapotlámpát mutat. Ha alagútproblémaként kezeljük, kulcsújrageneráláshoz, szolgáltatások újraindításához és végül egy olyan közös titok cseréjéhez vezet, amely soha nem volt hibás. A hasznos megkülönböztetés olcsó: ha a partnerrel való csere befejeződött, és a kliens továbblépett egy felhasználónév-kérésre vagy egy hitelesítési szakaszra, az alagút rendben van. Minden, ami ez után következik, a PPP-hez tartozik.

Olvassa el az utolsó sikeres fázist

Haladjon előre a naplóban, és álljon meg az első fázisnál, amely nem fejeződött be. Először az LCP jön, aztán a hitelesítés, aztán az IPCP az IPv4-paraméterekhez.

sudo journalctl -u xl2tpd -b --no-pager | tail -n 40
sudo journalctl -b --no-pager | grep -i -E 'pppd|lcp|chap|ipcp'
ip -4 address show ppp0

Az LCP időtúllépése azt jelenti, hogy a két végpont soha nem egyezett meg a kapcsolat alapvető beállításaiban, ami nem rossz jelszó, hanem nem illeszkedő profil vagy blokkolt belső protokoll. A kifejezett hitelesítés-elutasítás az ellenkező eset: a kapcsolat felépült, és az egyik oldal elutasította a hitelesítő adatokat. A sikeres hitelesítés utáni IPCP-időtúllépés címkészletekre vagy kiszolgálószabályzatra utal. Mindegyiknek más a gazdája és más a javítása, ezért a fázis fontosabb, mint a végső hibaüzenet szövege.

Tartsa a naplórészletet a fázis nevével együtt a jegyben. A fázishatár nélkül beillesztett farok arra hívja a következő olvasót, hogy találgasson, a találgatás pedig itt egy órába kerül.

Egyetértés a kliens és a kiszolgáló között

Mindkét végpontnak ugyanazt a hitelesítési módszert kell elfogadnia, és egy mentett profil olyat kérhet, amelyet a kiszolgáló az előző negyedévben kivont. A felügyelt telepítések a kiszolgáló oldalát is elrejtik, ahol az elutasítás okát általában a felhasználónál, nem az eszköznél rögzítik.

Egy támogatott módszert engedélyezzen minden örökölt lehetőség helyett, mert az öt módszert kínáló kliens elrejti, melyik bukott el. Kérje meg az adminisztrátortól a kiszolgáló oldali szabályzatot és a pontos elutasítást, ami nem igényli, hogy bárki jelszót tegyen közzé. Az egy ügyfél megmentésére engedélyezett örökölt módszer hajlamos átterjedni minden profilra, amely lemásolja a fájlt.

Ellenőrizze a címet, ne a bejelentkezést

A befejezett bejelentkezés nem használható munkamenet. Az IPCP egyezteti a belső címet, és egy kimerült készlet vagy a klienst elutasító szabályzat még mindig hagyhat kapcsolódott alagutat irányítható cél nélkül.

ip -4 address show ppp0
ip route get 10.52.9.1
ping -c 2 10.52.9.1

Először a belső címet ellenőrizze, aztán az útvonalat és a feloldót ahhoz az erőforráshoz, amelyre valóban szüksége van. A belső cím nem az a nyilvános kimenet, amelyet egy webhely jelent, és a kettő összekeverése olyan szivárgás keresésére küldi az embereket, amely nincs ott. A privát erőforrást cím alapján tesztelje, mielőtt név alapján tenné, hogy a DNS-hiba ne legyen összetévesztve útvonalhibával.

Írja le a fázist, a módszert és a címet egyetlen jegyzetbe, és lássa el dátummal. Ha ugyanaz a fiók egy hónap múlva újra elbukik, ez a jegyzet a különbség egy ötperces ellenőrzés és egy új vizsgálat között. A különböző fázisokban bekövetkező hibák különböző események, még akkor is, ha a kliens csak egy párbeszédablakot mutat.