Какой уровень профиля L2TP действительно сломался

Идите вниз по стеку, а не поперёк страницы настроек: Согласование IPsec, затем управление L2TP, затем аутентификация PPP, затем выдача адреса и DNS. У каждого уровня своя подпись ошибки и своя вероятная причина. Профиль, который срывается на аутентификации пользователя, уже прошёл три проверки, до которых профиль, завершившийся по тайм-ауту раньше, так и не добрался. Именно эту последовательность и нужно установить первой.

Одно и то же имя протокола скрывает четыре разных разговора.

Назовите уровень, прежде чем менять настройки

Сбой настройки IPsec указывает на общий секрет, алгоритмы или идентичность второй стороны. Если после этого срывается управление L2TP, это говорит о самом уровне туннеля, а это более узкая проблема. Ошибки аутентификации PPP называют учётную запись или метод аутентификации. Сбой адреса или DNS после аутентификации означает, что транспорт работал, а обмен конфигурацией нет.

Запишите версию клиента, версию операционной системы и задокументированную настройку оператора. Без этих трёх любое изменение — догадка, которая может случайно исправить что-то другое.

Сравните профиль с текущим клиентом

Сохранённый профиль может содержать общий секрет, параметр аутентификации или конечную точку, которые текущий клиент больше не принимает. Некоторые платформы полностью отказались от поддержки L2TP/IPsec или удалили её, а обновлённый клиент может отказаться от старого поведения IKE без каких-либо изменений на сервере. Сравнивайте сохранённые значения с текущими задокументированными требованиями оператора, а не с тем, что работало год назад. Разрыв между этими двумя документами обычно и есть место, где находится ответ.

Секрет в кэше или переименованная учётная запись обычно требуют не больше обычного обновления профиля, и оба варианта стоит проверить, прежде чем что-либо перепроектировать. Это дешёвые исправления, и их нужно исключить до любой архитектурной работы.

Старые параметры не возвращаются от включения

Отключение проверки не исправляет проблему цепочки доверия, а включение алгоритма только потому, что о нём упомянула тема на форуме, ничего не доказывает о том, что принимает сервер. Слабые предложения IKE обычно удаляют из клиентов по веским причинам, и повторное включение одного из них создаёт соединение хуже сломанного. Более слабый туннель — это не ремонт, а новая проблема с тем же симптомом. Правильный вопрос — что оператор поддерживает сейчас.

Ремонт по принципу «включить всё» меняет гораздо больше, чем сам сбой, и оставляет вас без ответа на вопрос, что же его исправило.

Представьте миграцию как проект

Если развёртывание больше не поддерживает нужный клиент, планируйте замену вместе с оператором, а не сохраняйте недокументированное исключение. Перенесите требование доступа, идентичности, записи DNS и маршруты, потому что одно новое рукопожатие само по себе не воссоздаёт ни одного из этих разрешений. Именно на этих частях работающее соединение тихо держалось. Держите старый профиль в сохранности, пока восстановление не будет подтверждено, затем отзовите устаревшие учётные данные там, где ими действительно управляют. Оставить их на месте — это способ, которым старый путь остаётся пригодным ещё долго после того, как все уверены, что он закрыт.

Миграция — это ещё и момент записать, для чего был профиль. Иначе следующий человек унаследует работающее соединение без всяких объяснений.

Проверьте уровень, версию клиента и текущие требования оператора. Затем решите, ремонт это или замена.