L2TP-ის დროის ამოწურვა Ubuntu 22.04-ზე: xl2tpd-ის გვირაბის ხარვეზი

სამუშაო მაგიდა აჩვენებს მიმდინარე კავშირს, IPsec აცხადებს წარმატებას, ხოლო PPP ინტერფეისი არასოდეს ჩნდება. სისტემურ ჟურნალში იგივე გვირაბის ნომერი მეორდება მანამ, სანამ ცდას დრო არ ამოეწურება UDP 1701-ზე. სანამ შეასწორებთ წინასწარ გაზიარებულ გასაღებს ან სერვერის კონფიგურაციას, ამოიცანით ეს ფორმა: Ubuntu 22.04-ზე ეს ჩვეულებრივ xl2tpd-ის პაკეტის რეგრესიაა და სერვერი მთელი დრო სწორი იყო.

რას გეუბნებათ განმეორებადი ჟურნალის წყვილი

წარუმატებელი სესია რეგულარული ინტერვალებით ბეჭდავს ორ სტრიქონს: დემონი ვერ პოულობს გვირაბს შემომავალი კონტროლის შეტყობინებისთვის, შემდეგ კი ამოაგდებს მიღებულ ზარისა და გვირაბის იდენტიფიკატორებს. მოგვიანებით განმეორებითი ცდის მთვლელი თავის ზღვარს აღწევს და კავშირი იხურება 1701 პორტზე დროის ამოწურვით. მისამართები და იდენტიფიკატორები შემთხვევითია; მნიშვნელოვანია ფორმა. IKE დასრულდა, L2TP კონტროლის ტრაფიკი მოვიდა და დემონმა ვერ შეძლო მისი დაკავშირება უკვე შექმნილ გვირაბთან.

ამიტომ ხარვეზი L2TP კონტროლსა და PPP-ს შორისაა. საიდუმლო გასაღების, PPP პარამეტრებისა და დისტანციური ქვექსელის შესახებ ჯერ არაფერი შემოწმდა.

დაადასტურეთ, რომ IPsec ნამდვილად წარმატებულია

ორი შემოწმება ჰყოფს ამას სარეგისტრაციო მონაცემების პრობლემისგან და ორივე პაკეტის ნებისმიერ ცვლილებამდე უნდა მოხდეს.

ipsec status
journalctl -u strongswan --since "5 min ago" | grep -i "shared key"

მდგომარეობის გამოტანა ჩამოთვლის კავშირსა და მის მდგომარეობას, ხოლო დამყარებული გვირაბი ნიშნავს, რომ პირველი და მეორე ფაზა დასრულდა. ჟურნალის სტრიქონი დაკარგული საერთო გასაღების შესახებ მხოლოდ საიდუმლოს მიუთითებს, ამიტომ გაჩერდით და ჯერ ის გაასწორეთ. როცა IPsec დამყარებულია და L2TP-ის დროის ამოწურვა კვლავ ჩნდება, დემონი რჩება ერთადერთ ეჭვმიტანილად. შეინახეთ ერთი ცდის ზუსტი სტრიქონები და არა მთელი დღის განმეორებითი ცდები.

შეამოწმეთ xl2tpd-ის აწყობა და არა გამოცემის სახელი

Ubuntu-ს jammy აწყობამ xl2tpd 1.3.16-დან ჩართო დაკავშირების დროის ოპტიმიზაცია, რამაც დააზიანა გვირაბის იდენტიფიკატორის ანალიზი სერვერის SCCRP პასუხში. შემდეგ დემონი გადააგდებს საკუთარივე შექმნილი გვირაბის კონტროლის პაკეტებს. ვერსიის სტრიქონი უფრო მნიშვნელოვანია, ვიდრე დისტრიბუციის სახელი.

dpkg -l xl2tpd
apt policy xl2tpd
apt-mark showhold

გასწორებული პაკეტია 1.3.16-1ubuntu0.1, ამიტომ ამ სუფიქსის გარეშე აწყობა გასწორებამდეა. პოლიტიკის გამოტანა აჩვენებს, რომელ კანდიდატს დააყენებს განახლება, ხოლო შეჩერების სია ხსნის, რატომ არ მოვიდა გასწორება. სადაც პაკეტი ხელმისაწვდომია, განაახლეთ იგი და ხელით ფაილების რედაქტირების ნაცვლად ჩვეულებრივი პროფილით ხელახლა დაუკავშირდით. ნუ ააწყობთ მოდულებს ხელახლა და ნუ შეცვლით საიდუმლოს, სანამ ძველი აწყობა ჯერ კიდევ დაყენებულია.

შეამოწმეთ PPP ცვლილების შემდეგ

წარმატებული განახლება დასტურდება იმ ფენაზე, რომელიც დაზიანებული იყო. შეამოწმეთ, რომ PPP ამოვიდა და არა მხოლოდ ის, რომ ხატულა შეიცვალა.

ip -4 addr show ppp0
ip route | grep ppp

ინტერფეისების სია უნდა აჩვენებდეს ლოკალურ და პარტნიორის მისამართს, ხოლო მარშრუტების ცხრილი უნდა ატარებდეს გვირაბის პრეფიქსებს. სისტემური ჟურნალი უნდა აჩვენებდეს, რომ გვირაბი მიღებულია და pppd აცხადებს ორივე მისამართს, გვირაბ-ვერ-მოიძებნა განმეორებადი სტრიქონების გარეშე. თუ PPP ამოვიდა და ტრაფიკი კვლავ ვერ გადის, შემდეგ შეხედეთ მარშრუტიზაციას ან MTU-ს, რადგან L2TP ეტაპმა თავისი საქმე დაასრულა. ჩაწერეთ მომუშავე პაკეტის ვერსია მანქანის შენიშვნებში, რომ მომავალმა გადაყენებამ დაზიანებული აწყობა არ აღადგინოს.

სადაც გასწორებული პაკეტი ხელმისაწვდომი არ არის, დოკუმენტირებული ალტერნატივებია 1.3.16 ან 1.3.17-ის ლოკალური წყაროდან აწყობა, kl2tpd-ზე გადასვლა ან დამაგრებული დაქვეითება. თითოეული თან ატარებს ტექნიკური მომსახურების ხარჯს, რომლის ჩაწერაც ღირს.