L2TP verbënnt, awer d'PPP-Verhandlung schléit fehl: wéi eng Phas?

Den IPsec-Tunnel gëtt opgebaut, de Client weist e geschützte Peer, an duerno stierft d'Verbindung, ier eppes de private Subnetz erreecht. Dës Lück ass PPP, dee seng eege Aarbecht mécht: Linkoptiounen, Benotzerauthentifizéierung an Adressvergabe geschéien all no deem, wéi den verschlësselten Tunnel existéiert. Näischt vun engem erfollegräichen Austausch vun der éischter Phas gëtt en Passwuert oder eng intern Adress. Liest d'Phase mat der Rei an de Feeler nennt sech meeschtens selwer.

Den Tunnel ass just déi éischt Schicht

L2TP dréit PPP-Frames an engem IPsec-geschützten Tunnel, dat heescht zwee onofhängeg Verhandlungen musse geléngen, ier e Paket geroutet ka ginn. Déi baussenzeg beweist, datt sech déi zwou Säiten iwwer Schlësselen an Identitéite eens sinn. Déi bannenzeg entscheet d'Linkparameter, ob de Benotzer sech authentifizéiert a wéi eng Adress de Client kritt.

E Feeler bannent PPP gesäit a jidderengem Client, dee just eng Statusluucht weist, aus wéi en ofgebrach Tunnel. Wann een en als Tunnelproblem behandelt, féiert dat zu neie Schlësselen, Neistart vu Servicer an um Enn zum Ersatz vun engem gemeinsame Geheimnis, dee ni falsch war. Den nëtzlechen Ënnerscheed ass bëlleg: wann den Austausch mam Peer fäerdeg ass an de Client op eng Benotzernumm-Ufro oder eng Authentifizéierungsphas gaang ass, ass den Tunnel an der Rei. Alles no dësem Punkt gehéiert zu PPP.

Liest déi lescht Phas, déi gelungen ass

Gitt de Log viruellen an hält bei der éischter Phas un, déi net fäerdeg gouf. Als éischt kënnt LCP, duerno d'Authentifizéierung, duerno IPCP fir d'IPv4-Parameter.

sudo journalctl -u xl2tpd -b --no-pager | tail -n 40
sudo journalctl -b --no-pager | grep -i -E 'pppd|lcp|chap|ipcp'
ip -4 address show ppp0

En LCP-Timeout heescht, datt sech déi zwou Säiten ni iwwer d'Basis-Linkoptioune eens goufen, wat en net passenden Profil oder en blockéierte bannenzege Protokoll ass an net e schlecht Passwuert. Eng ausdrécklech Authentifizéierungs-Ablehnung ass de Géigefall: de Link ass eropkomm an eng Säit huet d'Zougangsdaten ofgelehnt. En IPCP-Timeout no erfollegräicher Authentifizéierung deit op Adresspools oder Serverpolitik hin. Jidderee vun dësen huet en aneren Owner an eng aner Reparatur, dofir ass d'Phas wichteger wéi de leschten Feelertext.

Halt de Logauszuch zesumme mam Phasennumm am Ticket. E gepechten Enn ouni d'Phasengrenz invitéiert de nächsten Zeil ze raten, an d'Raten kascht hei eng Stonn.

Averständnis tëscht dem Client an dem Server

Déi zwou Säiten mussen déiselwecht Authentifizéierungsmethod akzeptéieren, an e gespaarte Profil kann eng ufroen, déi de Server de leschte Quartal ofgeschaf huet. Gestiellt Installatioune verstoppen och d'Serversäit, wou de Grond vun der Ablehnung meeschtens um Benotzer an net um Apparat erfaasst gëtt.

Aktivéiert eng ënnerstëtzt Method amplaz all al Optioun, well e Client, dee fënnef Methoden ubitt, verstoppt, wéi eng versot huet. Frot den Administrateur no der Politik op der Serversäit an der geneeer Ablehnung, wat net verlaangt, datt een e Passwuert verëffentlecht. Eng al Method, déi aktivéiert gëtt fir ee Client ze retten, verbreet sech gär op all Profil, deen d'Datei kopéiert.

Iwwerpréift d'Adress, net d'Umellung

Eng fäerdeg Umellung ass keng brauchbar Sessioun. IPCP verhandelt déi intern Adress, an en erschöpfte Pool oder eng Politik, déi de Client ofleet, kann nach ëmmer en verbonnenen Tunnel ouni eppes zum Routen hannerloossen.

ip -4 address show ppp0
ip route get 10.52.9.1
ping -c 2 10.52.9.1

Iwwerpréift als éischt déi intern Adress, duerno d'Route an den Opléiser fir d'Ressource, déi Dir wierklech braucht. Eng intern Adress ass net de Public Ausgang, deen eng Websäit mellt, an d'Verwiessele vun deenen zwee schéckt Leit op d'Sich no engem Lach, dat et net gëtt. Test d'privat Ressource iwwer d'Adress, ier Dir iwwer den Numm testt, sou datt en DNS-Feeler net fir e Routingfeeler gehale gëtt.

Schreift d'Phas, d'Method an d'Adress an eng eenzeg Notiz a datéiert se. Wa jee deen selwechte Kont an engem Mount erëm versot, ass déi Notiz den Ënnerscheed tëscht enger Fënnef-Minutten-Préifung an enger neier Enquête. Feeler an ënnerschiddleche Phasen sinn ënnerschiddlech Virfäll, och wann de Client just ee Dialog weist.