L2TP menyambung tetapi rundingan PPP gagal: fasa yang mana?

Terowong IPsec terbentuk, klien menunjukkan rakan terlindung, dan kemudian sambungan mati sebelum apa-apa sampai ke subnet peribadi. Jurang itu ialah PPP menjalankan tugasnya sendiri: pilihan pautan, pengesahan pengguna dan peruntukan alamat semuanya berlaku selepas terowong disulitkan wujud. Tiada apa-apa dalam pertukaran fasa pertama yang berjaya memberikan kata laluan atau alamat dalaman. Baca fasa mengikut urutan dan kegagalan biasanya menamakan dirinya sendiri.

Terowong hanyalah lapisan pertama

L2TP membawa bingkai PPP di dalam terowong yang dilindungi IPsec, bermakna dua rundingan berasingan mesti berjaya sebelum paket boleh dihalakan. Yang luar membuktikan kedua-dua hujung bersetuju tentang kunci dan identiti. Yang dalam menentukan parameter pautan, sama ada pengguna disahkan, dan alamat yang diterima klien.

Kegagalan di dalam PPP kelihatan seperti terowong rosak pada setiap klien yang hanya menunjukkan satu lampu status. Menganggapnya sebagai masalah terowong membawa kepada penjanaan semula kunci, memulakan semula perkhidmatan dan akhirnya menggantikan rahsia kongsi yang tidak pernah salah. Perbezaan yang berguna itu murah: jika pertukaran dengan rakan selesai dan klien beralih kepada gesaan nama pengguna atau peringkat pengesahan, terowong itu baik. Semua selepas titik itu milik PPP.

Baca fasa terakhir yang berjaya

Telusuri log ke hadapan dan berhenti pada fasa pertama yang tidak selesai. LCP dahulu, kemudian pengesahan, kemudian IPCP untuk parameter IPv4.

sudo journalctl -u xl2tpd -b --no-pager | tail -n 40
sudo journalctl -b --no-pager | grep -i -E 'pppd|lcp|chap|ipcp'
ip -4 address show ppp0

Tamat masa LCP bermakna kedua-dua hujung tidak pernah bersetuju tentang pilihan pautan asas, iaitu profil tidak sepadan atau protokol dalaman disekat, bukan kata laluan buruk. Penolakan pengesahan yang jelas ialah kes sebaliknya: pautan naik dan satu pihak menolak kelayakan. Tamat masa IPCP selepas pengesahan berjaya menunjuk kepada kumpulan alamat atau dasar pelayan. Setiap satunya mempunyai pemilik berbeza dan pembaikan berbeza, sebab itu fasa lebih penting daripada teks ralat akhir.

Simpan petikan log bersama nama fasa dalam tiket. Ekor yang ditampal tanpa sempadan fasa mengajak pembaca seterusnya meneka, dan meneka di sini mengambil masa sejam.

Persetujuan antara klien dan pelayan

Kedua-dua hujung mesti menerima kaedah pengesahan yang sama, dan profil tersimpan boleh meminta kaedah yang pelayan tarik balik kuartal lalu. Penerapan terurus juga menyembunyikan sisi pelayan, di mana sebab penolakan biasanya direkodkan pada pengguna dan bukan peranti.

Dayakan satu kaedah yang disokong dan bukan setiap pilihan lama, kerana klien yang menawarkan lima kaedah menyembunyikan yang mana gagal. Minta pentadbir dasar sisi pelayan dan penolakan yang tepat, yang tidak memerlukan sesiapa menerbitkan kata laluan. Kaedah lama yang didayakan untuk menyelamatkan satu klien cenderung merebak ke setiap profil yang menyalin fail itu.

Sahkan alamat, bukan log masuk

Log masuk yang selesai bukan sesi yang boleh digunakan. IPCP merundingkan alamat dalaman, dan kumpulan yang habis atau dasar yang menafikan klien masih boleh meninggalkan terowong bersambung tanpa apa-apa untuk dihalakan.

ip -4 address show ppp0
ip route get 10.52.9.1
ping -c 2 10.52.9.1

Periksa alamat dalaman dahulu, kemudian laluan dan penyelesai untuk sumber yang benar-benar anda perlukan. Alamat dalaman bukan jalan keluar awam yang dilaporkan laman web, dan mengelirukan kedua-duanya menghantar orang memburu kebocoran yang tiada. Uji sumber peribadi melalui alamat sebelum melalui nama, supaya kegagalan DNS tidak disalah anggap sebagai kegagalan penghalakan.

Tulis fasa, kaedah dan alamat dalam satu nota dan tarikhkannya. Jika akaun yang sama gagal lagi dalam sebulan, nota itu ialah perbezaan antara pemeriksaan lima minit dan siasatan baharu. Kegagalan pada fasa berbeza ialah insiden berbeza, walaupun klien hanya menunjukkan satu dialog.