L2TP қосылады, бірақ PPP келіссөзі сәтсіз аяқталады: қай фаза?

IPsec туннелі орнайды, клиент қорғалған серіктесті көрсетеді, содан кейін жеке ішкі желіге ештеңе жетпей тұрып қосылым үзіледі. Бұл алшақтық — PPP өз жұмысын жасап жатқаны: буын параметрлері, пайдаланушыны аутентификациялау және мекенжай беру шифрланған туннель пайда болғаннан кейін жүреді. Бірінші фазаның сәтті алмасуы құпиясөз де, ішкі мекенжай да бермейді. Фазаларды ретімен оқыңыз, сәтсіздік әдетте өзінің атын айтады.

Туннель тек бірінші қабат

L2TP PPP кадрларын IPsec-пен қорғалған туннель ішінде тасымалдайды, яғни пакетті маршруттау үшін екі тәуелсіз келіссөз сәтті болуы керек. Сыртқысы екі жақтың кілттер мен сәйкестіктер туралы келіскенін дәлелдейді. Ішкісі буын параметрлерін, пайдаланушының аутентификациялануын және клиент қандай мекенжай алатынын шешеді.

PPP ішіндегі сәтсіздік тек бір күй шамын көрсететін әр клиентте сынған туннель болып көрінеді. Оны туннель мәселесі деп қарау кілттерді қайта жасауға, қызметтерді қайта іске қосуға және ақырында ешқашан қате болмаған ортақ құпияны ауыстыруға әкеледі. Пайдалы айырмашылық арзан: егер серіктеспен алмасу аяқталып, клиент пайдаланушы атын сұрауға немесе аутентификация кезеңіне өтсе, туннель дұрыс. Осы нүктеден кейінгінің бәрі PPP-ге жатады.

Сәтті болған соңғы фазаны оқыңыз

Журналды алға қарай жүріп, аяқталмаған бірінші фазада тоқтаңыз. Алдымен LCP келеді, содан кейін аутентификация, содан кейін IPv4 параметрлері үшін IPCP.

sudo journalctl -u xl2tpd -b --no-pager | tail -n 40
sudo journalctl -b --no-pager | grep -i -E 'pppd|lcp|chap|ipcp'
ip -4 address show ppp0

LCP тайм-ауты екі жақтың негізгі буын параметрлері туралы ешқашан келіспегенін білдіреді, бұл жаман құпиясөз емес, профильдің сәйкессіздігі немесе бұғатталған ішкі протокол. Айқын аутентификациядан бас тарту — керісінше жағдай: буын көтерілді және бір жақ тіркелгі деректерін қабылдамады. Сәтті аутентификациядан кейінгі IPCP тайм-ауты мекенжай пулдарына немесе сервер саясатына меңзейді. Олардың әрқайсысының өз иесі және өз жөндеуі бар, сондықтан фаза соңғы қате мәтінінен маңыздырақ.

Журнал үзіндісін фаза атауымен бірге тикетте сақтаңыз. Фаза шекарасынсыз қойылған құйрық келесі оқырманды болжауға шақырады, ал мұнда болжау бір сағат тұрады.

Клиент пен сервер арасындағы келісім

Екі жақ та бірдей аутентификация әдісін қабылдауы керек, ал сақталған профиль сервер өткен тоқсанда алып тастаған әдісті сұрауы мүмкін. Басқарылатын орналастырулар сервер жағын да жасырады, онда бас тарту себебі әдетте құрылғыға емес, пайдаланушыға жазылады.

Барлық ескі опцияның орнына бір қолдау көрсетілетін әдісті қосыңыз, себебі бес әдіс ұсынатын клиент қайсысы сәтсіз болғанын жасырады. Әкімшіден сервер жағының саясатын және нақты бас тартуды сұраңыз, бұл ешкімнен құпиясөз жариялауды талап етпейді. Бір клиентті құтқару үшін қосылған ескі әдіс файлды көшіретін әр профильге таралуға бейім.

Мекенжайды тексеріңіз, кіруді емес

Аяқталған кіру — әлі пайдалануға жарамды сессия емес. IPCP ішкі мекенжайды келіседі, ал таусылған пул немесе клиентті қабылдамайтын саясат әлі де қосылған туннельді маршруттайтын ештеңесіз қалдыруы мүмкін.

ip -4 address show ppp0
ip route get 10.52.9.1
ping -c 2 10.52.9.1

Алдымен ішкі мекенжайды, содан кейін шынымен қажет ресурстың маршруты мен шешушісін тексеріңіз. Ішкі мекенжай — сайт хабарлайтын қоғамдық шығу емес, ал екеуін шатастыру адамдарды жоқ ағуды іздеуге жібереді. Жеке ресурсты атаумен емес, мекенжаймен тексеріңіз, сонда DNS ақауы маршруттау ақауы деп қабылданбайды.

Фазаны, әдісті және мекенжайды бір жазбаға жазып, күнін қойыңыз. Егер сол тіркелгі бір айдан кейін қайта сәтсіз болса, сол жазба бес минуттық тексеру мен жаңа тергеудің айырмашылығы. Әртүрлі фазалардағы сәтсіздіктер — әртүрлі оқиғалар, клиент бір диалог көрсетсе де.