Ubuntu 24.04 の L2TP が壊れた：xl2tpd か go-l2tp デーモンか

Ubuntu 24.04 は NetworkManager の L2TP プラグインの背後にあるデーモンを静かに差し替えました。以前の経路は xl2tpd を使っていましたが、新しいパッケージは kl2tpd というデーモンを生む Go 実装を取り込みます。プラグインはインストールされている方を起動するため、アップグレードはプロファイルや認証情報に触れずにデーモンを置き換えられます。障害のすべては、新しいデーモンが認識しない制御メッセージの一点に尽きます。

プラグインは IPsec、L2TP、PPP を調整し、出来上がったインターフェースを NetworkManager に渡します。L2TP 自体を実装しているわけではありません。

プラグインは調整役であり、デーモンではない

network-manager-l2tp は IPsec ヘルパー、L2TP デーモン、PPP を実行し、インターフェースをデスクトップの接続管理に配線します。長年デーモンは xl2tpd で、その設定に触れるチュートリアルはすべてこの前提を引き継いでいました。後に Debian のパッケージはどちらの実装も受け入れ、24.04 は kl2tpd を提供する Go 版を導入します。プロファイルには以前どのデーモンが動いていたかを記録する欄がないため、メッセージが拒否されるまで入れ替わりは見えません。

両方のパッケージがあるマシンでも、期待した方が動くとは限りません。選択はプラグインの判断であり、あなたが読んだ手順書の判断ではありません。

修復を選ぶ前に段階を読む

journalctl -b --no-hostname _COMM=nm-l2tp-service _COMM=kl2tpd _COMM=xl2tpd _COMM=pppd _COMM=charon _COMM=pluto

デスクトップの通知を信じるのではなく、一つの試行をヘルパー全体で突き合わせます。このクエリは手順がどこで止まったかを示し、dpkg -l はどちらの実装が入っているかを示します。IPsec ピアの確立後に現れ、制御メッセージや未知の属性に言及する失敗はデーモンを指します。トンネルができる前の失敗は、デーモンに届いていないことを意味します。

事前共有鍵の不一致は IPsec の段階で終わり、ピアを示します。PPP の認証情報の問題はトンネルが上がってから現れ、通常は読める CHAP または MS-CHAP の拒否を伴います。どちらも同じクエリで見え、別々の問題です。

二つの経路、そして混ざらない

sudo apt install xl2tpd
sudo apt purge go-l2tp

その組は xl2tpd を入れてから Go デーモンを削除し、プラグインがゲートウェイの話す方言の実装を選ぶようにします。順序が重要で、プラグインはどちらか一方の実装に依存するため、Go パッケージを先に削除するとプラグインも一緒に落ちます。二つ目の経路は Go デーモンを残し、メッセージを理解する新しいビルドへ移りますが、これは通常アーカイブ版ではなくメンテナーの PPA を意味します。管理された艦隊では、利用者にパッケージ削除を教えるより PPA を固定する方が正当化しやすいのです。

二つを一度の変更にまとめないでください。後で失敗したとき、どちらが効いたのか言えなくなり、将来のアップグレードが今外したパッケージを戻すかもしれません。

チケットにはデーモンのバイナリ、そのバージョン、正確なメッセージを書きます。リリース後に L2TP が壊れた、とだけ書かれた報告は誰も再現できませんが、属性名とパッケージのバージョンがあれば手がかりになります。

これではない三つのこと

同じプロファイルが 22.04 で同じゲートウェイに対して動いていたので、プロファイルの問題ではありません。それらは別の場所で別の証拠とともに失敗するので、欠けた経路でもファイアウォールの変更でもありません。同じデーモンがまた選ばれるので、プラグインを再インストールしても直りません。役に立つ説明は、デーモンとそれが拒否したメッセージを名指しします。

ゲートウェイ側の修正も正当な結末です。属性を送らなくなったファームウェアはクライアントのアップグレードすべてを生き延びますが、パッケージの固定は、なぜ固定したかを誰かが覚えている場合に限り、次のディストリビューションのリリースを生き延びます。

二つの経路は速度ではなく保守コストで比べてください。どちらも動きますが、方言の食い違いを消すのは一方だけです。