L2TP туташат, бирок PPP сүйлөшүүсү ишке ашпайт: кайсы фаза?

IPsec туннели орнойт, клиент корголгон өнөктөштү көрсөтөт, анан жеке ички тармакка эч нерсе жетпей туруп байланыш үзүлөт. Бул боштук — PPP өз ишин жасап жатканы: шилтеме параметрлери, колдонуучунун аутентификациясы жана адрес берүү шифрленген туннель пайда болгондон кийин жүрөт. Биринчи фазанын ийгиликтүү алмашуусу сынаарышты да, ички адрести да бербейт. Фазаларды тартиби менен окуңуз, ийгиликсиздик адатта өзүнүн атын айтат.

Туннель — бул биринчи катмар гана

L2TP PPP кадрларын IPsec менен корголгон туннелдин ичинде ташыйт, башкача айтканда пакетти маршруттоо үчүн эки көз карандысыз сүйлөшүү ийгиликтүү болушу керек. Сырткысы эки тарап тең ачкычтар жана инсандар боюнча макул экенин далилдейт. Ичкиси шилтеме параметрлерин, колдонуучунун аутентификацияланышын жана клиент кандай адрес аларын чечет.

PPP ичиндеги ийгиликсиздик бир гана статус лампасын көрсөткөн ар бир клиентте бузулган туннель сыяктуу көрүнөт. Аны туннель көйгөйү деп кароо ачкычтарды кайра жаратууга, кызматтарды кайра баштоого жана акырында эч качан туура эмес болбогон жалпы сырды алмаштырууга алып барат. Пайдалуу айырма арзан: эгер өнөктөш менен алмашуу бүтсө жана клиент колдонуучу атын суроого же аутентификация баскычына өтсө, туннель жакшы. Ошол чекиттен кийинкинин баары PPPге таандык.

Ийгиликтүү болгон акыркы фазаны окуңуз

Журналды алдыга карай жүрүп, бүтпөгөн биринчи фазада токтоңуз. Адегенде LCP келет, анан аутентификация, анан IPv4 параметрлери үчүн IPCP.

sudo journalctl -u xl2tpd -b --no-pager | tail -n 40
sudo journalctl -b --no-pager | grep -i -E 'pppd|lcp|chap|ipcp'
ip -4 address show ppp0

LCPнин убакыт бүтүшү эки тарап негизги шилтеме параметрлери боюнча эч качан макулдашпаганын билдирет, бул жаман сынаарыш эмес, профилдин дал келбестиги же ички протоколдун тосулушу. Ачык аутентификациядан баш тартуу — карама-каршы учур: шилтеме көтөрүлдү жана бир тарап далилдерди четке какты. Ийгиликтүү аутентификациядан кийинки IPCPнин убакыт бүтүшү адрес пулдарына же сервер саясатына көрсөтөт. Алардын ар биринин өз ээси жана өз оңдоосу бар, ошондуктан фаза акыркы ката текстинен маанилүү.

Журнал үзүндүсүн фазанын аты менен бирге билетте сактаңыз. Фазанын чеги жок чапталган куйрук кийинки окуучуну божомолдоого чакырат, ал эми бул жерде божомолдоо бир саат турат.

Клиент менен сервердин ортосундагы макулдук

Эки тарап тең бирдей аутентификация ыкмасын кабыл алышы керек, ал эми сакталган профиль сервер өткөн чейректе алып салган ыкманы талап кылышы мүмкүн. Башкарылуучу жайгаштыруулар сервер тарабын да жашырат, ал жерде баш тартуу себеби адатта түзмөккө эмес, колдонуучуга жазылат.

Ар бир эски опциянын ордуна колдоого алынган бир ыкманы күйгүзүңүз, анткени беш ыкма сунуштаган клиент кайсынысы ишке ашпаганын жашырат. Администратордон сервер тараптагы саясатты жана так баш тартууну сураңыз, бул эч кимден сынаарышты жарыялоону талап кылбайт. Бир клиентти куткаруу үчүн күйгүзүлгөн эски ыкма файлды көчүргөн ар бир профилге таралат.

Адрести текшериңиз, кирүүнү эмес

Бүткөн кирүү — пайдаланууга жарактуу сессия эмес. IPCP ички адрести сүйлөшөт, ал эми бүткөн пул же клиентти четке каккан саясат байланышкан туннелди маршруттоого эч нерсесиз калтырышы мүмкүн.

ip -4 address show ppp0
ip route get 10.52.9.1
ping -c 2 10.52.9.1

Адегенде ички адрести, анан чындап керектүү ресурстун маршрутун жана чечүүчүсүн текшериңиз. Ички адрес — сайт билдирген коомдук чыгуу эмес, экөөнү аралаштыруу адамдарды жок агымды издеп жөнөтөт. Жеке ресурсту ат менен эмес, адрес менен текшериңиз, ошентип DNS катасы маршруттоо катасы деп кабыл алынбайт.

Фазаны, ыкманы жана адрести бир жазууга жазып, күнүн коюңуз. Ошол эле аккаунт бир айдан кийин кайра ишке ашпаса, ошол жазуу беш мүнөттүк текшерүү менен жаңы иликтөөнүн айырмасы. Ар башка фазалардагы ийгиликсиздиктер — ар башка окуялар, клиент бир диалог көрсөтсө да.