L2TP/IPsec يتصل على شبكة وتنتهي المهلة على شبكة أخرى

الحاسوب المحمول نفسه والملف الشخصي نفسه وكلمة المرور نفسها تعمل في مبنى وتفشل في آخر. هذه المقارنة هي أنفع دليل في التذكرة، وهي عادة أول ما يُطرح جانبًا. بين شبكتي وصول يمر التبادل عبر ترجمة عناوين مختلفة ومرشحات مختلفة ومساعدات موجّه مختلفة. إبقاء العميل ثابتًا وتغيير الشبكة وحدها هو سبيل معرفة أي ذلك يهم.

ثبّت العميل قبل مقارنة الشبكات

لا تغيّر شيئًا على الجهاز حتى تسجّل الحالة العاملة: إصدار العميل، ومحتوى الملف الشخصي، واسم الخادم، ووقت الاتصال الناجح. ثم أعد إنتاج الفشل على الشبكة الثانية في الجلسة نفسها، ليكون حال العميل أقرب ما يمكن إلى التطابق. ملف شخصي عُدّل بين المحاولتين يُبطل المقارنة كلها. الهدف متغيّر واحد، وذلك المتغيّر هو الشبكة.

أكّد أولًا الدخول العادي إلى الإنترنت على الشبكة الفاشلة، بما في ذلك بوابة الزوار إن وُجدت. البوابة التي لم تُستوفَ قط تُنتج مهلة تبدو تمامًا كنفق مُرشَّح، وذلك الفحص يستغرق دقيقة.

أربع مراحل، وأربع رسائل خطأ مختلفة

اتصال L2TP/IPsec يمر بأربع مراحل، و RFC 3193 يصف الترتيب الذي يربط أول مرحلتين. تفاوض IKE هو موضع إنتاج المسار المُرشَّح مهلةً صامتة. مصادقة IPsec هي موضع إنتاج اختلاف الشهادة أو المفتاح المشترك مسبقًا رفضًا صريحًا بدلًا من ذلك. إعداد نفق L2TP هو موضع اتحاد الأمان القائم الذي قد لا يؤدي إلى أي مكان، وتسجيل الدخول PPP هو موضع إنتاج بيانات الاعتماد الخاطئة فشلًا مرئيًا أخيرًا. اقرأ السجل الخاص بالمرحلة التي توقفت، لا السطر الأخير الذي طُبع.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

يُظهر سجل strongSwan هل بلغ تبادل IKE اقتراحًا وهل ردّ النظير أصلًا، وهو ما يفصل الوصول عن السياسة. ويستأنف سجل xl2tpd حيث ينتهي IPsec، لذا فإن اتحاد أمان قائم بلا شيء في ذلك السجل يشير إلى مرحلة L2TP. ويؤكد استعلام المسار أن العميل يرسل نحو عنوان الخادم الذي تظنه، وهو ما يلتقط استجابة DNS قديمة موروثة من الشبكة السابقة. ومعًا، تسمّي المخارج الثلاثة مرحلة لا عَرَضًا.

قارن عمق NAT وسلوك المساعد

يجعل اجتياز NAT حركة المرور المحمية على تغليف UDP عند كشف الترجمة، لذا قد تختلف أرقام المنافذ التي تحمل جلسة عاملة عن تلك الموجودة في مخطط ثابت. والسماح بحزمة إعداد واحدة لا يثبت شيئًا عن بقية التبادل، ومسح المنافذ الخارجي لا يستطيع إخبارك كيف يعامل النظير حركة المرور الموثّقة الصالحة. وطبقة الترجمة الثانية تغيّر الصورة مرة أخرى، لأن التعيين يوجد الآن مرتين وينتهي وفق جدولين مختلفين. والترجمة على مستوى المشغّل في اتصال جوّال هي السبب المعتاد لفشل ملف مكتبي عامل على نقطة اتصال الهاتف.

تختلف مساعدات الموجّه بقدر ما تختلف الشبكات. بعض البرامج الثابتة تعترض التبادل وتعيد كتابته، وبعضها يتوقف فقط عن إسقاطه، وبعضها يطبّق الإعداد في وضع قديم فقط. اقرأ وصف البرنامج الثابت نفسه لمربع الاختيار، وحيث يوجد وضع توافق، اختبره كتغيير واحد مقصود لا ثلاثة دفعة واحدة.

عميل صادر، وخادم وارد: مشكلتان مختلفتان

يحتاج العميل الصادر والخادم الوارد إلى وصول مختلف في المنبع، وميزة العبور التي تساعد الأول لا تفعل شيئًا للثاني. والموجّه المنزلي الذي يسمح للحاسوب المحمول بالوصول إلى بوابة بعيدة لا يقبل بذلك اتصالات واردة إلى خادم خلفه. والخلط بينهما يرسلك للبحث عن إعادة توجيه منافذ لم تكن المشكلة قط. بيّن أي دور يلعبه الجهاز الفاشل قبل مقارنة أي شيء.

بعد تغيير مدعوم، أعد الاتصال نفسه وسجّل المرحلة التي بلغها. احفظ الملف العامل وملاحظة الشبكة الفاشلة معًا، ولا تُعِد ضبط بيانات الاعتماد ولا تُعِد تثبيت العميل، لأن ذلك يطرح الدليل الذي بُنيت عليه المقارنة.