L2TP sa pripojí, ale vyjednávanie PPP zlyhá: ktorá fáza?

Tunel IPsec sa nadviaže, klient ukáže chráneného partnera a potom spojenie zomrie skôr, než sa čokoľvek dostane do privátnej podsiete. Tá medzera je PPP pri vlastnej práci: voľby spoja, autentifikácia používateľa a pridelenie adresy sa dejú až po tom, ako šifrovaný tunel existuje. Nič na úspešnej výmene prvej fázy nedodá heslo ani vnútornú adresu. Čítajte fázy v poradí a zlyhanie sa zvyčajne pomenuje samo.

Tunel je len prvá vrstva

L2TP prenáša rámce PPP v tuneli chránenom IPsec, čo znamená, že pred smerovaním paketu musia uspieť dve nezávislé vyjednávania. Vonkajšie dokazuje, že sa oba konce zhodujú na kľúčoch a identitách. Vnútorné rozhoduje o parametroch spoja, či sa používateľ autentifikuje a akú adresu klient dostane.

Zlyhanie vnútri PPP vyzerá ako pokazený tunel v každom klientovi, ktorý ukazuje jedinú stavovú kontrolku. Ak sa berie ako problém tunela, vedie k obnove kľúčov, reštartu služieb a napokon k výmene zdieľaného tajomstva, ktoré nikdy nebolo nesprávne. Užitočné rozlíšenie je lacné: ak sa výmena s partnerom skončila a klient prešiel k výzve na používateľské meno alebo k fáze autentifikácie, tunel je v poriadku. Všetko po tomto bode patrí PPP.

Prečítajte si poslednú fázu, ktorá uspela

Prejdite log dopredu a zastavte sa pri prvej fáze, ktorá sa nedokončila. Najprv príde LCP, potom autentifikácia, potom IPCP pre parametre IPv4.

sudo journalctl -u xl2tpd -b --no-pager | tail -n 40
sudo journalctl -b --no-pager | grep -i -E 'pppd|lcp|chap|ipcp'
ip -4 address show ppp0

Timeout LCP znamená, že sa oba konce nikdy nedohodli na základných voľbách spoja, čo je nezhoda profilu alebo blokovaný vnútorný protokol, nie zlé heslo. Výslovné odmietnutie autentifikácie je opačný prípad: spoj sa zdvihol a jedna strana odmietla prihlasovacie údaje. Timeout IPCP po úspešnej autentifikácii ukazuje na fondy adries alebo politiku servera. Každý z nich má iného vlastníka a inú opravu, a preto je fáza dôležitejšia než konečný text chyby.

Uchovajte výňatok z logu spolu s názvom fázy v tikete. Vložený koniec bez hranice fázy vyzýva ďalšieho čitateľa hádať a hádanie tu stojí hodinu.

Zhoda medzi klientom a serverom

Oba konce musia prijať rovnakú metódu autentifikácie a uložený profil si môže vyžiadať tú, ktorú server vlani vyradil. Spravované nasadenia tiež skrývajú stranu servera, kde sa dôvod odmietnutia zvyčajne zaznamenáva k používateľovi, nie k zariadeniu.

Zapnite jednu podporovanú metódu namiesto každej staršej voľby, pretože klient ponúkajúci päť metód zakrýva, ktorá zlyhala. Požiadajte správcu o politiku na strane servera a presné odmietnutie, čo nevyžaduje, aby niekto zverejnil heslo. Staršia metóda zapnutá na záchranu jedného klienta sa zvyčajne rozšíri do každého profilu, ktorý súbor skopíruje.

Overte adresu, nie prihlásenie

Dokončené prihlásenie nie je použiteľná relácia. IPCP vyjednáva vnútornú adresu a vyčerpaný fond alebo politika, ktorá klienta odmieta, môžu aj tak nechať pripojený tunel bez čohokoľvek na smerovanie.

ip -4 address show ppp0
ip route get 10.52.9.1
ping -c 2 10.52.9.1

Najprv skontrolujte vnútornú adresu, potom trasu a resolver pre zdroj, ktorý skutočne potrebujete. Vnútorná adresa nie je verejný výstup, ktorý hlási webová stránka, a zámena oboch posiela ľudí hľadať únik, ktorý tam nie je. Testujte privátny zdroj podľa adresy skôr než podľa mena, aby sa zlyhanie DNS nezamenilo so zlyhaním smerovania.

Zapíšte fázu, metódu a adresu do jednej poznámky a opatrite ju dátumom. Ak ten istý účet o mesiac znova zlyhá, tá poznámka je rozdiel medzi päťminútovou kontrolou a novým vyšetrovaním. Zlyhania v rôznych fázach sú rôzne incidenty, aj keď klient ukazuje jediný dialóg.