L2TP/IPsec werk op een netwerk en hou op 'n ander vas

Dieselfde skootrekenaar, dieselfde profiel en dieselfde wagwoord werk in een gebou en faal in 'n ander. Daardie vergelyking is die nuttigste bewyse in die navraag, en dit is gewoonlik die eerste ding wat weggegooi word. Tussen twee toegangsnetwerke gaan die uitruiling deur verskillende adresvertaling, verskillende filters en verskillende routerhelpers. Om die kliënt dieselfde te hou en net die netwerk te verander, is hoe jy uitvind watter van dié dinge saak maak.

Maak die kliënt reg voordat jy netwerke vergelyk

Verander niks op die toestel voordat jy 'n rekord van die werkende geval het nie: kliëntweergawe, profielinhoud, bedienernaam en die tyd van die suksesvolle verbinding. Reproduseer dan die faling op die tweede netwerk tydens dieselfde sessie, sodat die kliënttoestand so na as moontlik identies is. 'n Profiel wat tussen die twee pogings gewysig is, maak die hele vergelyking ongeldig. Die doel is een veranderlike, en daardie veranderlike is die netwerk.

Bevestig eers gewone internettoegang op die falende netwerk, insluitend 'n gasportaal indien daar een is. 'n Portaal waaraan nooit voldoen is nie, lewer 'n tydsverloop wat presies soos 'n gefiltreerde tonnel lyk, en daardie kontrole neem 'n minuut.

Vier fases, vier verskillende foutboodskappe

'n L2TP/IPsec-verbinding gaan deur vier fases, en RFC 3193 beskryf die reëling wat die eerste twee bind. IKE-onderhandeling is waar 'n gefiltreerde pad 'n stil tydsverloop lewer. IPsec-verifikasie is waar 'n sertifikaat- of voorafgedeelde sleutel-verskil eerder 'n eksplisiete verwerping lewer. Die L2TP-tonnelopstelling is waar 'n gevestigde beveiligingsassosiasie steeds nêrens kan lei nie, en die PPP-aanmelding is waar 'n verkeerde geloofsbrief uiteindelik 'n sigbare faling lewer. Lees die log vir die fase wat gestop het, nie vir die laaste reël wat dit gedruk het nie.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Die strongSwan-log wys of die IKE-uitruiling 'n voorstel bereik het en of die eweknie hoegenaamd geantwoord het, wat bereikbaarheid van beleid skei. Die xl2tpd-log neem oor waar IPsec eindig, so 'n gevestigde beveiligingsassosiasie met niks in daardie log wys na die L2TP-fase. Die roetebevraging bevestig dat die kliënt na die bedieneradres stuur wat jy dink dit is, wat 'n verouderde DNS-antwoord vang wat van die vorige netwerk geërf is. Saam noem die drie uitsette 'n fase eerder as 'n simptoom.

Vergelyk NAT-diepte en helper-gedrag

NAT-deurgang skuif beskermde verkeer na UDP-inkapseling wanneer vertaling bespeur word, so die poortnommers wat 'n werkende sessie dra, kan verskil van dié in 'n statiese diagram. Om een opstellingspakket toe te laat, bewys niks oor die res van die uitruiling nie, en 'n eksterne poortskandering kan jou nie vertel hoe die eweknie geldige geauthentiseerde verkeer hanteer nie. 'n Tweede laag vertaling verander die prentjie weer, want die kartering bestaan nou twee keer en verval op twee verskillende skedules. Diensverskaffer-grade vertaling op 'n mobiele verbinding is die gewone rede waarom 'n werkende kantoorprofiel op 'n selfoonhotspot faal.

Routerhelpers verskil net soveel soos die netwerke. Sommige firmware onderskep en herskryf die uitruiling, sommige stop bloot om dit te laat val, en sommige pas die instelling net in 'n ouer modus toe. Lees die firmware se eie beskrywing van die merkie, en waar 'n versoenbaarheidsmodus bestaan, toets dit as een doelbewuste verandering eerder as drie op 'n slag.

Uitgaande kliënt, inkomende bediener: twee verskillende probleme

'n Uitgaande kliënt en 'n inkomende bediener het verskillende opstroom-bereikbaarheid nodig, en 'n deurlaatfunksie wat die eerste help, doen niks vir die tweede nie. 'n Tuisdraadlose router wat die skootrekenaar na 'n afgeleë poort laat kom, aanvaar nie daardeur inkomende verbindings na 'n bediener agter hom nie. Om die twee te verwar, stuur jou op soek na poortaanstuur wat nooit die probleem was nie. Noem watter rol die falende toestel speel voordat jy enigiets vergelyk.

Herhaal na 'n ondersteunde verandering dieselfde verbinding en teken die fase aan wat dit bereik het. Hou die werkende profiel en die aantekening oor die falende netwerk saam, en moenie geloofsbriewe herstel of die kliënt herinstalleer nie, want dit gooi die bewyse weg waarop die vergelyking gebou is.