Opção L2TP ausente na janela de rede: o que instalar

Você adiciona uma conexão VPN, procura L2TP/IPsec na lista e ele não está lá. Ou está, o perfil é salvo, e a conexão morre com uma mensagem sobre um plugin. Os dois sintomas apontam para uma pilha de pacotes que se instalam separadamente, e a janela só mostra o fim dela. Mapeie as peças antes de instalar qualquer coisa.

Comece pela pilha, não pelo menu

A opção aparece quando o gerenciador consegue encontrar um plugin que anuncia esse tipo de VPN. Esse plugin, por sua vez, precisa de um daemon L2TP e de uma implementação de IPsec em tempo de execução, além de um módulo PPP para o próprio enlace. Cada um deles é um pacote separado com sua própria cadeia de dependências, e uma distribuição pode fornecê-los em combinações apenas parcialmente completas. Instalar um daemon IPsec sozinho não acrescenta nada à lista, porque o gerenciador não o procura. Leia primeiro os plugins instalados e depois desça.

Um item ausente no menu é uma questão de empacotamento. Quase nunca é uma questão de configuração, por mais que pareça.

Editar e executar são pacotes separados

O plugin do serviço estabelece conexões, e um componente editor é o que permite que uma janela de configurações do desktop exiba e salve as opções do protocolo. Eles são empacotados separadamente, e algumas distribuições entregam um sem o outro. O resultado é uma conexão que existe, pode ser iniciada pela linha de comando e não pode ser editada na ferramenta gráfica.

Observe o ambiente de desktop em execução antes de escolher um nome de pacote. O componente de edição do GNOME não é o mesmo pacote que uma interface do KDE, e uma distribuição pode renomear qualquer um deles. Pegue o nome na lista de pacotes daquela versão.

O plugin PPP vive num caminho com versão

L2TP roda sobre PPP, e o plugin que o serviço carrega é compilado contra uma versão específica de PPP, então ele vive num diretório com o nome dessa versão. Uma receita que fixa um caminho mais antigo descreve a máquina em que foi escrita. Se a versão aqui for diferente, o plugin não será encontrado, por mais cuidadosamente que o comando tenha sido copiado.

Esse é o argumento mais forte a favor do pacote da distribuição em vez de uma compilação copiada. Os mantenedores de pacotes acompanham esse caminho; uma linha configure copiada não.

Uma falha de negociação não é uma falha de instalação

Depois que a opção existe e o perfil é salvo, a próxima falha é outra classe de problema. Um par que rejeita a autenticação é o backend IPsec dizendo algo específico.

Leia o log do próprio backend antes de reinstalar qualquer coisa. O journal do gerenciador mostra o plugin passando adiante e o daemon IPsec informando por que parou, e essas duas linhas juntas identificam qual lado recusou. Reinstalar um editor não corrige uma chave pré-compartilhada rejeitada, e reinstalar um plugin não corrige um servidor que espera propostas diferentes. Separe as camadas nas suas anotações antes de tocar num pacote.

Dois segredos, dois campos

A autenticação IPsec e o login PPP do usuário são segredos sem relação que por acaso ficam na mesma janela. Um autentica as máquinas, o outro autentica uma pessoa perante o serviço L2TP, e um servidor pode aceitar um enquanto rejeita o outro.

Coloque a senha da conta no campo PPP e o segredo compartilhado no campo IPsec, e depois verifique de qual deles o log reclamou. Copiar uma senha para uma caixa de segredo compartilhado porque os dois campos estão mascarados é um erro comum e completamente silencioso. Anote as versões de pacote com que você terminou, porque a próxima máquina precisa da mesma combinação e a janela não dirá a ninguém qual é.