Prázdny ladiaci protokol L2TP? Chyba bude pravdepodobne v journali

Spustíte pomocníka L2TP s ladením, pozeráte na terminál a on sa zastaví bez čohokoľvek užitočného na obrazovke. To nie je pokazený ladiaci prepínač. Pripojenie NetworkManager L2TP tvoria štyri spolupracujúce procesy a iba niektoré z nich zapisujú do terminálu, ktorý sledujete. Zvyšok dôkazov je v journali, jeden filter ďaleko.

Štyri procesy, dve miesta zápisu

Pripojenie začína protokolom IPsec, čo je podľa inštalácie buď libreswan, alebo strongSwan. Potom tunel poháňa démon L2TP, tradične xl2tpd a v niektorých zostaveniach kl2tpd. Nakoniec pppd vnútri zabezpečuje autentifikáciu a adresovanie.

Pomocná služba tieto časti koordinuje a tlačí vlastný priebeh. Démon IPsec a pppd zvyčajne hlásia cez systémový journal, a preto terminál ukazuje zlyhávajúce pripojenie, kým dôvod leží v súbore, ktorý ste neotvorili.

Toto rozdelenie tiež vysvetľuje, prečo chyba PSK a chyba hesla vyzerajú z plochy rovnako: obe vytvoria všeobecné odpojenie a fázu, ktorá zlyhala, vidieť len vo výstupe jednotlivých procesov. Práve preto je tu journal dôležitý. Jedna všeobecná správa na ploche, štyria možní autori za ňou.

Zbierajte jeden pokus a potom čítajte poradie

Reprodukujte raz, so známym profilom a známym časom, a potom čítajte úzke okno namiesto celého štartu. Opakovanie pokusov pri zmene nastavení mení protokol na zmes, ktorú nemožno vyložiť.

Tieto príkazy vyberajú zúčastnené procesy pre aktuálny štart a cestu k pluginu stojí za to overiť vo vašej distribúcii:

journalctl -b --no-hostname _COMM=nm-l2tp-service _COMM=pluto _COMM=charon _COMM=xl2tpd _COMM=pppd
rpm -ql NetworkManager-l2tp 2>/dev/null | grep nm-l2tp-service

Opakované polia v jednom volaní vyberajú zjednotenie týchto procesov, čo zachová poradie v časovom slede. V systéme založenom na Debiane je ekvivalentný dotaz dpkg -L; ide o to nájsť, kde pomocník skutočne sídli, než ho skúsite spustiť ručne.

Ďalší krok určujú tri podmienky

Prečítajte prvú zlyhanú fázu a podľa toho vyberte. Ak IPsec hlási zlyhanie návrhu alebo autentifikácie protistrany, tunel vôbec nevznikol a zmena hesla PPP nepomôže.

Ak tunel vznikol a pppd prihlásenie odmietol, zdieľané tajomstvo už bolo v poriadku a problém s prihlasovacími údajmi je o vrstvu vyššie. Ak pppd vyjednal adresu a zlyhanie sa objaví neskôr, oboje funguje a zostávajúcim problémom je smerovanie, DNS alebo vlastná politika servera.

Tieto tri vetvy pokrývajú takmer každé všeobecné odpojenie a rozhoduje o nich to, ktorý proces zaznamenal poslednú chybu, nie to, ktorá chybová správa vyzerá najhrozivejšie.

Tiež stojí za to overiť, ktorý backend IPsec je nainštalovaný, než sa dotknete nastavenia ladenia. Voľba protokolovania napísaná pre strongSwan nič nerobí, keď beží libreswan, a pripojenie bude ďalej zlyhávať na tom istom mieste, kým upravujete súbor, ktorý nikto nečíta.

Ladiaci režim zanecháva súbory

Pôvodný ladiaci postup spúšťa službu ručne s ladiacim prepínačom a tento režim môže po skončení pripojenia ponechať vygenerované konfiguračné súbory behového prostredia na mieste.

Tieto súbory obsahujú autentifikačný materiál: predzdieľaný kľúč, prihlasovacie údaje alebo oboje. Vygenerovaná konfigurácia skopírovaná do okna chatu je vyzradenie prihlasovacích údajov, nie výňatok z protokolu. Pred zdieľaním čohokoľvek odstráňte riadky s tajomstvami a po skončení vyšetrovania adresár zmažte. Berte ich ako tajomstvá, vytiahnite konkrétne riadky potrebné pre správu a potom ich zmažte, namiesto aby ste vkladali adresár do tiketu.

Ručná inštancia sa tiež musí zladiť s normálnou. Spustenie ladiacej kópie, keď služba už plugin vlastní, vytvorí dvoch vlastníkov a protokol, ktorý mieša oba, čo je horšie ako žiadny ladiaci výstup.

Potom obnovte normálneho pomocníka

Keď vyšetrovanie skončí, zastavte ručnú inštanciu, odstráňte ponechané behové súbory a pripojte sa znova normálnou cestou, aby ďalší človek videl konfiguráciu, ktorá zodpovedá skutočnosti.

Potom overte výsledok vo vrstve, ktorá zlyhala, nie na ikone plochy:

journalctl -b -u NetworkManager --since -10min | tail -30
ip -4 addr show ppp0
ip -4 route get 10.20.4.10

Relácia, ktorá sa autentifikuje, získa adresu a smeruje k zamýšľanému cieľu, je výsledok, ktorý ste ladili. Tichý terminál počas neúspešného pokusu vám hovorí len kde výstup nebol zapísaný.