L2TP უკავშირდება, მაგრამ PPP მოლაპარაკება ვერ ხერხდება: რომელი ფაზა?

IPsec გვირაბი მყარდება, კლიენტი დაცულ პარტნიორს აჩვენებს და შემდეგ კავშირი წყდება მანამ, სანამ რამე კერძო ქვექსელს მიაღწევს. ეს უფსკრული PPP-ის საკუთარი სამუშაოა: ბმულის პარამეტრები, მომხმარებლის ავთენტიფიკაცია და მისამართის მინიჭება ყველა მას შემდეგ ხდება, რაც დაშიფრული გვირაბი არსებობს. პირველი ფაზის წარმატებული გაცვლა არ იძლევა პაროლს ან შიდა მისამართს. წაიკითხეთ ფაზები თანმიმდევრობით და წარუმატებლობა ჩვეულებრივ თავად ასახელებს თავს.

გვირაბი მხოლოდ პირველი ფენაა

L2TP PPP კადრებს გადააქვს IPsec-ით დაცული გვირაბის შიგნით, რაც ნიშნავს, რომ პაკეტის მარშრუტიზაციამდე ორი დამოუკიდებელი მოლაპარაკება უნდა წარმატდეს. გარე ადასტურებს, რომ ორივე მხარე თანხმდება გასაღებებსა და იდენტობებზე. შიდა განსაზღვრავს ბმულის პარამეტრებს, ავთენტიფიცირდება თუ არა მომხმარებელი და რა მისამართს მიიღებს კლიენტი.

PPP-ის შიგნით მოხდარი ხარვეზი ყველა იმ კლიენტში გატეხილ გვირაბს ჰგავს, რომელიც მხოლოდ ერთ სტატუსის ნათურას აჩვენებს. მასთან გვირაბის პრობლემად მოპყრობა იწვევს გასაღებების ხელახლა გენერაციას, სერვისების გადატვირთვას და ბოლოს იმ საერთო საიდუმლოს შეცვლას, რომელიც არასოდეს ყოფილა არასწორი. სასარგებლო განსხვავება იაფია: თუ პარტნიორთან გაცვლა დასრულდა და კლიენტი გადავიდა მომხმარებლის სახელის მოთხოვნაზე ან ავთენტიფიკაციის ეტაპზე, გვირაბი რიგზეა. ყველაფერი ამ წერტილის შემდეგ PPP-ს ეკუთვნის.

წაიკითხეთ ბოლო ფაზა, რომელიც წარმატდა

გაიარეთ ჟურნალი წინ და შეჩერდით პირველ ფაზაზე, რომელიც არ დასრულებულა. პირველი მოდის LCP, შემდეგ ავთენტიფიკაცია, შემდეგ IPCP IPv4 პარამეტრებისთვის.

sudo journalctl -u xl2tpd -b --no-pager | tail -n 40
sudo journalctl -b --no-pager | grep -i -E 'pppd|lcp|chap|ipcp'
ip -4 address show ppp0

LCP-ის დროის ამოწურვა ნიშნავს, რომ ორი მხარე არასოდეს შეთანხმებულა ბმულის ძირითად პარამეტრებზე, რაც ცუდი პაროლი კი არა, პროფილის შეუსაბამობა ან დაბლოკილი შიდა პროტოკოლია. ავთენტიფიკაციის ცხადი უარყოფა საპირისპირო შემთხვევაა: ბმული ავიდა და ერთმა მხარემ უარყო მონაცემები. წარმატებული ავთენტიფიკაციის შემდეგ IPCP-ის დროის ამოწურვა მიუთითებს მისამართების აუზებზე ან სერვერის პოლიტიკაზე. თითოეულ მათგანს განსხვავებული მფლობელი და განსხვავებული შეკეთება აქვს, ამიტომ ფაზა უფრო მნიშვნელოვანია, ვიდრე საბოლოო შეცდომის ტექსტი.

შეინახეთ ჟურნალის ამონაკვეთი ფაზის სახელთან ერთად ბილეთში. ფაზის საზღვრის გარეშე ჩასმული კუდი შემდეგ მკითხველს ვარაუდისკენ იწვევს, და აქ ვარაუდი ერთი საათი ღირს.

შეთანხმება კლიენტსა და სერვერს შორის

ორივე მხარემ უნდა მიიღოს ერთი და იგივე ავთენტიფიკაციის მეთოდი, და შენახულ პროფილს შეუძლია მოითხოვოს ის, რაც სერვერმა გასულ კვარტალში მოხსნა. მართვადი განლაგება ასევე მალავს სერვერის მხარეს, სადაც უარყოფის მიზეზი ჩვეულებრივ მომხმარებელზე და არა მოწყობილობაზე იწერება.

ჩართეთ ერთი მხარდაჭერილი მეთოდი ყველა ძველი ვარიანტის ნაცვლად, რადგან ხუთ მეთოდს შემომთავაზებელი კლიენტი მალავს, რომელი ჩავარდა. სთხოვეთ ადმინისტრატორს სერვერის მხარის პოლიტიკა და ზუსტი უარყოფა, რაც არ მოითხოვს, რომ ვინმემ პაროლი გამოაქვეყნოს. ერთი კლიენტის გადასარჩენად ჩართული ძველი მეთოდი ჩვეულებრივ ვრცელდება ყველა პროფილზე, რომელიც ფაილს აკოპირებს.

შეამოწმეთ მისამართი, და არა შესვლა

დასრულებული შესვლა ჯერ არ არის გამოსადეგი სესია. IPCP შიდა მისამართზე მოლაპარაკობს, და ამოწურულმა აუზმა ან კლიენტის უარმყოფელმა პოლიტიკამ მაინც შეიძლება დატოვოს დაკავშირებული გვირაბი მარშრუტიზაციისთვის არაფრით.

ip -4 address show ppp0
ip route get 10.52.9.1
ping -c 2 10.52.9.1

ჯერ შიდა მისამართი შეამოწმეთ, შემდეგ მარშრუტი და გადამწყვეტი იმ რესურსისთვის, რომელიც ნამდვილად გჭირდებათ. შიდა მისამართი არ არის ის საჯარო გასასვლელი, რომელსაც საიტი აცხადებს, და ამ ორის არევა ხალხს არარსებული გაჟონვის საძებნელად აგზავნის. კერძო რესურსი ჯერ მისამართით შეამოწმეთ და მერე სახელით, რომ DNS-ის ხარვეზი მარშრუტიზაციის ხარვეზად არ შეცდეს.

ჩაწერეთ ფაზა, მეთოდი და მისამართი ერთ ჩანაწერში და დაურთეთ თარიღი. თუ იმავე ანგარიში ერთ თვეში კვლავ ჩავარდება, ეს ჩანაწერი განსხვავებაა ხუთწუთიან შემოწმებასა და ახალ გამოძიებას შორის. სხვადასხვა ფაზაში მოხდარი ხარვეზები სხვადასხვა ინციდენტია, თუნდაც კლიენტი ერთ დიალოგს აჩვენებდეს.