L2TP se conectează, dar negocierea PPP eșuează: în care fază?

Tunelul IPsec se stabilește, clientul afișează un partener protejat, apoi conexiunea moare înainte ca ceva să ajungă în subrețeaua privată. Acest gol este PPP făcându-și propria treabă: opțiunile legăturii, autentificarea utilizatorului și alocarea adresei au loc toate după ce tunelul criptat există. Nimic dintr-un schimb reușit din prima fază nu oferă o parolă sau o adresă internă. Citiți fazele în ordine și eșecul de obicei se numește singur.

Tunelul este doar primul strat

L2TP transportă cadre PPP într-un tunel protejat de IPsec, ceea ce înseamnă că două negocieri independente trebuie să reușească înainte ca un pachet să poată fi rutat. Cea exterioară dovedește că ambele capete sunt de acord asupra cheilor și identităților. Cea interioară decide parametrii legăturii, dacă utilizatorul se autentifică și ce adresă primește clientul.

Un eșec în interiorul PPP arată ca un tunel rupt în fiecare client care afișează un singur bec de stare. Dacă este tratat ca problemă de tunel, duce la regenerarea cheilor, repornirea serviciilor și în final la înlocuirea unui secret partajat care nu a fost niciodată greșit. Distincția utilă este ieftină: dacă schimbul cu partenerul s-a încheiat și clientul a trecut la o solicitare de nume de utilizator sau la o etapă de autentificare, tunelul este în regulă. Tot ce urmează după acel punct aparține PPP.

Citiți ultima fază care a reușit

Parcurgeți jurnalul înainte și opriți-vă la prima fază care nu s-a încheiat. Mai întâi vine LCP, apoi autentificarea, apoi IPCP pentru parametrii IPv4.

sudo journalctl -u xl2tpd -b --no-pager | tail -n 40
sudo journalctl -b --no-pager | grep -i -E 'pppd|lcp|chap|ipcp'
ip -4 address show ppp0

Un timeout LCP înseamnă că cele două capete nu au convenit niciodată asupra opțiunilor de bază ale legăturii, ceea ce este o nepotrivire de profil sau un protocol intern blocat, nu o parolă proastă. O respingere explicită a autentificării este cazul opus: legătura a urcat și o parte a refuzat datele de acces. Un timeout IPCP după autentificare reușită indică grupuri de adrese sau politica serverului. Fiecare dintre ele are alt proprietar și altă reparație, de aceea faza contează mai mult decât textul final al erorii.

Păstrați fragmentul de jurnal împreună cu numele fazei în tichet. O coadă lipită fără granița fazei invită următorul cititor să ghicească, iar ghicitul aici costă o oră.

Acordul dintre client și server

Ambele capete trebuie să accepte aceeași metodă de autentificare, iar un profil salvat poate cere una pe care serverul a retras-o trimestrul trecut. Implementările gestionate ascund și partea de server, unde motivul respingerii este de obicei înregistrat pe utilizator, nu pe dispozitiv.

Activați o singură metodă acceptată în locul fiecărei opțiuni vechi, pentru că un client care oferă cinci metode ascunde care a eșuat. Cereți administratorului politica din partea serverului și respingerea exactă, ceea ce nu cere nimănui să publice o parolă. O metodă veche activată pentru a salva un singur client tinde să se răspândească la fiecare profil care copiază fișierul.

Verificați adresa, nu autentificarea

O autentificare încheiată nu este o sesiune utilizabilă. IPCP negociază adresa internă, iar un grup epuizat sau o politică ce refuză clientul pot lăsa în continuare un tunel conectat fără nimic de rutat.

ip -4 address show ppp0
ip route get 10.52.9.1
ping -c 2 10.52.9.1

Verificați mai întâi adresa internă, apoi ruta și resolverul pentru resursa de care aveți nevoie cu adevărat. O adresă internă nu este ieșirea publică pe care o raportează un site web, iar confundarea celor două trimite oamenii să caute o scurgere care nu există. Testați resursa privată după adresă înainte de a o testa după nume, ca un eșec DNS să nu fie luat drept eșec de rutare.

Scrieți faza, metoda și adresa într-o singură notă și datați-o. Dacă același cont eșuează din nou peste o lună, acea notă este diferența dintre o verificare de cinci minute și o investigație nouă. Eșecurile din faze diferite sunt incidente diferite, chiar și când clientul afișează un singur dialog.