Tweede L2TP-kliënt maak die eerste dood? Lees die enkapsulering

Een skootrekenaar hou ’n werkende tonnel deur die kantoorrouter. ’n Tweede skootrekenaar in dieselfde kamer koppel, en die eerste een val weg. As dit die hele simptoom is, staan drie verskillende oorsake steeds op die tafel, en watter oplossing van toepassing is, hang af van dinge wat jy nog nie gemeet het nie. Die gedeelde router is relevant, maar dit is nie outomaties skuldig nie, en die protokol ook nie.

Drie oorsake wat van die bank af identies lyk

Die eerste kandidaat is die router se hantering van IPsec. Goedkoop verbruikersrouters adverteer dikwels deurlaat en implementeer dit vir een kliënt op ’n slag, want die meganisme volg een eweknie en kan nie twee skootrekenaars agter dieselfde openbare adres skei nie. Die simptoom is presies wat jy sou verwag: die nuwer sessie wen.

Die tweede is die rekening. Baie VPN-bedieners laat een sessie per identiteit toe en verbreek die ouer een wanneer dieselfde geloofsbriewe weer verifieer, wat ’n beleidsbesluit op die poort is en niks met jou router te doen het nie. Soek daardie eksplisiete boodskap in die bedienerlog voordat jy hardeware koop.

Die derde is ’n gewone wanopstelling: twee profiele wat na dieselfde identiteit wys, een daarvan met ’n verouderde vooraf-gedeelde sleutel of ’n sertifikaat wat die poort nie meer aanvaar nie. Daardie een wys gewoonlik as ’n mislukte tweede verbinding eerder as ’n weggevalle eerste een, so die vorm van die fout sê al iets vir jou.

Wat L2TP/IPsec werklik deur die router stuur

IKE loop oor UDP 500. Die datapad is ESP, wat IP-protokol 50 is en glad geen TCP- of UDP-poorte dra nie. ’n Router wat net poorte verstaan, het dus niks om op te sleutel nie, en dit is presies waarom die deurlaatmeganisme bestaan.

Met NAT-deurgang word ESP binne UDP 4500 ingekapsuleer. Nou het die router ’n bronpoort om te map, en elke skootrekenaar kry sy eie vertaling, sodat die poort twee strome kan onderskei. Dit is die meganisme wat veelvuldige kliënte agter een adres hoegenaamd laat werk.

Die onderskeid maak saak wanneer jy ’n router se kenmerklys lees. ’n Etiket wat IPsec-deurlaat sê, vertel jou die verskaffer het een of ander meganisme; dit sê nie of daardie meganisme verskeie kliënte ondersteun of hoe dit optree wanneer die tweede een opdaag nie.

strongSwan se NAT-deurgang-dokumentasie beskryf die inkapsulering self, wat die deel is wat jy uit pakketopnames kan verifieer eerder as uit ’n bemarkingsbladsy.

Hoe om te weet watter oorsaak jy werklik het

Doen vier waarnemings en skryf elke resultaat neer. Elke skootrekenaar alleen: werk dit, en hoe lank? Beide gelyk: watter een oorleef? Die tweede skootrekenaar op ’n selfoon-hotspot: bly die eerste op? En by die poort: wys die bedienerlog ’n nuwe sessie wat ’n ou een vervang, of wys dit een kliënt wat bloot stil word?

Daardie antwoorde skei die kandidate skoon. ’n Vervangingsboodskap in die bedienerlog dui op identiteitsbeleid. ’n Kliënt wat ophou verkeer ontvang terwyl die router ’n nuwe vertaling wys, dui op die router. Twee kliënte wat albei nie IKE voltooi nie, dui op opstelling of geloofsbriewe.

Hou dieselfde profiele regdeur. Om die profiel tussen toetse te verander beteken jy meet twee veranderlikes op een slag, en die gevolgtrekking sal verkeerd wees op ’n manier wat baie moeilik is om raak te sien.

Maak ’n opname op die router as dit dit ondersteun, of op een skootrekenaar terwyl die ander koppel. Om die tweede kliënt se pakkette te sien verskyn terwyl die eerste kliënt se pakkette stop, is sterker bewyse as enige verbind-ikoon.

As die router die beperking is

Gebruik die verskaffer se gedokumenteerde multi-kliënt-opstelling as dit bestaan, of vervang die toestel met een wie se dokumentasie sê wat jy nodig het. Dit is ’n onglamoureuze antwoord en dit is die enigste een wat ’n firmware-opdatering oorleef.

Wat nie werk nie, is om twee identiese inkomende aansturings na twee verskillende skootrekenaars by te voeg. ’n Aansturing vertel die router waar om aankomende verkeer te stuur; dit vertel hom nie watter van twee aktiewe strome ’n pakket hoort nie, en die dubbelsinnigheid is die fout.

As die router nie vervang kan word nie, plaas een kliënt agter ’n ander pad. ’n Selfoon-hotspot is ’n swak permanente oplossing en ’n heeltemal goeie diagnostiese een.

As die poort die beperking is

Voorsien aparte identiteite vir aparte mense. Een gedeelde rekening wat deur twee skootrekenaars gebruik word, is die reëling wat hierdie simptoom op bedieners veroorsaak wat vir een sessie opgestel is, en geen plaaslike opstelling maak ’n besluit aan die ander kant reg nie.

Vra die poort se eienaar watter beleid geld: een sessie per rekening, een per sertifikaat, of glad geen limiet nie. Hul antwoord besluit of jy nuwe geloofsbriewe of ’n nuwe router nodig het.

Verifikasie is die deel wat mense oorslaan. Laat nuttige verkeer van beide kliënte langer as die interval loop wat vantevore gefaal het, want twee suksesvolle aanmeldings bewys net dat verifikasie een keer elk gewerk het.