L2TP-Zäitlimit op Ubuntu 22.04: den xl2tpd-Tunnelbug

IPsec verbënnt, PPP fänkt ni un, an xl2tpd widderhëlt en Tunnel, deen et net kann zouuerdnen. Kontrolléiert de installéierte Build, ier Dir de PSK oder de Server beréiert.

Den Desktop weist eng Verbindung déi leeft, IPsec mellt Erfolleg, an den PPP-Interface erschéngt ni. Am Syslog widderhëlt sech déiselwecht Tunnelnummer bis den Versuch op UDP 1701 an d'Zäitlimit leeft. Ier Dir de virdeele geschlësselte Schlëssel oder d'Serverkonfiguratioun ännert, erkennt dës Form: op Ubuntu 22.04 ass et meeschtens eng Paketregressioun an xl2tpd, an de Server war déi ganz Zäit richteg.

Wat datt widderhëlt Syslog-Puer Iech seet

Eng feelend Sessioun dréckt an reegelméissegen Ofstänn e Puer Zeilen: den Daemon fënnt keen Tunnel fir eng erakomm Kontrollnoriicht, an duerno schëtt en d'Call- an Tunnel-Identifikateuren aus, déi en krut. Méi spéit erreecht den Neiversich-Zieler seng Grenz an d'Verbindung gëtt mat enger Zäitlimit um Port 1701 zougemaach. Adressen an Identifikateure si zoufälleg; d'Form ass wat zielt. IKE gouf ofgeschloss, L2TP-Kontrolltraffic koum un, an den Daemon konnt en net mat engem Tunnel associéieren, deen en scho geschaf hat.

De Feeler läit also tëscht der L2TP-Kontroll an dem PPP. Iwwer de Geheimnis, d'PPP-Optiounen oder de wäiten Subnetz ass nach näischt getest ginn.

Bestätegt, datt IPsec wierklech gelongen ass

Zwou Kontrollen trennen dëst vun engem Problem mat den Umeldungsdaten, an zwou gehéieren virun all Paketännerung.

ipsec status
journalctl -u strongswan --since "5 min ago" | grep -i "shared key"

D'Statusausgab lëscht d'Verbindung an hire Staat, an en opgebauten Tunnel heescht, datt Phas eent an Phas zwee ofgeschloss sinn. Eng Logzeil iwwer e fehlenden gedeelte Schlëssel weist nëmmen op de Geheimnis, also stoppt a fléckt dat als éischt. Wann IPsec opgebaut ass an d'L2TP-Zäitlimit nach ëmmer erschéngt, ass den Daemon de verbleiwenen Verdächtegen. Behäft déi genee Zeilen aus engem Versuch statt engem ganzen Dag Neiversich.

Kontrolléiert den xl2tpd-Build, net den Numm vun der Verëffentlechung

Dem Ubuntu säin jammy-Build vun xl2tpd 1.3.16 huet d'Linkzäit-Optimiséierung ageschalt, wat d'Parsen vum Tunnel-Identifkateur an der SCCRP-Antwert vum Server gebrach huet. Den Daemon verwërft duerno Kontrollpakete fir en Tunnel, deen en selwer ugeluecht huet. D'Versiounszeechen zielt méi wéi den Numm vun der Distributioun.

dpkg -l xl2tpd
apt policy xl2tpd
apt-mark showhold

De korrigéierte Paket ass 1.3.16-1ubuntu0.1, also ass e Build ouni dës Suffix méi al wéi d'Korrektur. D'Politikausgab weist, wéi ee Kandidat en Upgrade installéiere géif, an d'Hold-Lëscht erkläert, firwat eng Korrektur net ukomm ass. Wou de Paket verfügbar ass, aktualiséiert en a verbënnt Iech nees iwwer de normale Profil amplaz d'Fichieren vun Hand ze änneren. Baut keng Moduler nei a ännert de Geheimnis net, soulaang den ale Build nach installéiert ass.

Verifizéiert PPP no der Ännerung

En erfollegräichen Upgrade gëtt op där Schicht bewisen, déi futti war. Kontrolléiert, datt PPP opkomm ass, an net nëmmen, datt de Symbol sech geännert huet.

ip -4 addr show ppp0
ip route | grep ppp

D'Interface-Lëscht sollt eng lokal an eng Peer-Adress weisen, an d'Routentabell sollt d'Präfixer vum Tunnel droen. De Syslog sollt weisen, datt den Tunnel ugeholl gouf an datt pppd béid Adressen mellt, ouni widderhëlte Linnen iwwer en net fonntenen Tunnel. Wann PPP leeft an den Traffic nach ëmmer feelt, kuckt duerno op Routing oder MTU, well d'L2TP-Etapp hir Aarbecht fäerdeg huet. Schreift d'funktionéierend Paketversioun an d'Maschinnnotizen, sou datt eng zukünfteg Neuinstallatioun de futti Build net zrécksetzt.

Wou de korrigéierte Paket net verfügbar ass, sinn déi dokumentéiert Alternativen en lokale Quellbuild vun 1.3.16 oder 1.3.17, e Wiessel op kl2tpd oder en agefixéierten Downgrade. Jiddwereen huet Ënnerhaltskäschten, déi et wäert sinn opzeschreiwen.

Ähnlech Artikelen