هل يقتل عميل L2TP الثاني الأول؟ اقرأ التغليف
شبكة VPN عاملة تصبح صفرًا عندما يتصل حاسوب محمول ثانٍ. افحص تغليف ESP مقابل تغليف UDP، وتعيين منافذ NAT، وهوية مكررة، لا البروتوكول.
يحتفظ حاسوب محمول واحد بنفق عامل عبر راوتر المكتب. يتصل حاسوب محمول ثانٍ في الغرفة نفسها، فيسقط الأول. إذا كان هذا هو العَرَض كله، فثلاثة أسباب مختلفة لا تزال مطروحة، وأي إصلاح ينطبق يعتمد على أشياء لم تقِسها بعد. الراوتر المشترك ذو صلة، لكنه ليس مذنبًا تلقائيًا، ولا البروتوكول كذلك.
ثلاثة أسباب تبدو متطابقة من الأريكة
المرشح الأول هو تعامل الراوتر مع IPsec. كثيرًا ما تعلن راوترات المستهلك الرخيصة عن المرور المباشر وتنفذه لعميل واحد في المرة، لأن الآلية تتبّع نظيرًا واحدًا ولا تستطيع فصل حاسوبين محمولين خلف العنوان العام نفسه. العَرَض هو بالضبط ما تتوقعه: الجلسة الأحدث تفوز.
الثاني هو الحساب. تسمح خوادم VPN كثيرة بجلسة واحدة لكل هوية وتقطع الأقدم عندما تعيد بيانات الاعتماد نفسها المصادقة، وهو قرار سياسة على البوابة ولا علاقة له بالراوتر. ابحث عن تلك الرسالة الصريحة في سجل الخادم قبل أن تشتري عتادًا.
الثالث هو سوء تهيئة صريح: ملفان شخصيان يشيران إلى الهوية نفسها، أحدهما بمفتاح مشترك مسبق قديم أو شهادة لم تعد البوابة تقبلها. هذا يظهر عادة كفشل الاتصال الثاني بدلًا من سقوط الأول، فشكل الفشل يخبرك بشيء بالفعل.
ما الذي يرسله L2TP/IPsec فعليًا عبر الراوتر
يعمل IKE عبر UDP 500. مسار البيانات هو ESP، وهو بروتوكول IP رقم 50 ولا يحمل أي منفذ TCP أو UDP إطلاقًا. لذا لا يجد الراوتر الذي يفهم المنافذ فقط ما يعتمد عليه، ولهذا السبب بالضبط توجد آلية المرور المباشر.
مع اجتياز NAT، يُغلَّف ESP داخل UDP 4500. الآن لدى الراوتر منفذ مصدر ليعيّنه، ويحصل كل حاسوب محمول على ترجمته الخاصة، فيستطيع البوابة التمييز بين تدفقين. هذه هي الآلية التي تجعل عملاء متعددين خلف عنوان واحد ممكنًا أصلًا.
التمييز مهم عندما تقرأ قائمة ميزات راوتر. التسمية التي تقول «مرور IPsec المباشر» تخبرك أن لدى المورّد آلية ما؛ لكنها لا تخبرك هل تدعم تلك الآلية عدة عملاء أو كيف تتصرف عند وصول الثاني.
توثيق strongSwan لاجتياز NAT يصف التغليف نفسه، وهو الجزء الذي يمكنك التحقق منه من التقاطات الحزم بدلًا من صفحة تسويقية.
كيف تعرف أي سبب لديك فعلًا
أجرِ أربع ملاحظات واكتب كل نتيجة. كل حاسوب محمول وحده: هل يعمل، ولأي مدة؟ كلاهما معًا: أيّهما يبقى؟ الحاسوب الثاني على نقطة اتصال هاتف: هل يبقى الأول قائمًا؟ وعند البوابة: هل يُظهر سجل الخادم جلسة جديدة تحل محل قديمة، أم يُظهر عميلًا واحدًا يصمت فحسب؟
تلك الإجابات تفصل المرشحين بوضوح. رسالة استبدال في سجل الخادم تشير إلى سياسة الهوية. عميل يتوقف عن تلقي الحركة بينما يُظهر الراوتر ترجمة جديدة يشير إلى الراوتر. عميلان يفشلان معًا في إكمال IKE يشيران إلى التهيئة أو بيانات الاعتماد.
أبقِ الملفات الشخصية نفسها طوال الوقت. تغيير الملف بين الاختبارات يعني أنك تقيس متغيرين في وقت واحد، وستكون النتيجة خاطئة بطريقة يصعب ملاحظتها جدًا.
التقط على الراوتر إن كان يدعم ذلك، أو على حاسوب واحد بينما يتصل الآخر. رؤية حزم العميل الثاني تظهر بينما تتوقف حزم الأول دليل أقوى من أي أيقونة اتصال.
إذا كان الراوتر هو القيد
استخدم تهيئة تعدد العملاء الموثقة لدى المورّد إن وُجدت، أو استبدل الجهاز بواحد تقول وثائقه ما تحتاجه. تلك إجابة غير مبهرة وهي الوحيدة التي تصمد أمام تحديث للبرنامج الثابت.
ما لا يعمل هو إضافة تحويلين متطابقين للوارد نحو حاسوبين مختلفين. التحويل يخبر الراوتر أين يرسل الحركة الواصلة؛ ولا يخبره بأي من تدفقين نشطين ينتمي الحزمة، والالتباس هو العلة.
إذا تعذر استبدال الراوتر، ضع عميلًا واحدًا خلف مسار مختلف. نقطة اتصال الهاتف حل دائم ضعيف وحل تشخيصي جيد تمامًا.
إذا كانت البوابة هي القيد
وفّر هويات منفصلة لأشخاص منفصلين. حساب مشترك واحد يستخدمه حاسوبان هو الترتيب الذي ينتج هذا العَرَض على خوادم مهيأة لجلسة واحدة، ولا تهيئة محلية تصلح قرارًا يُتخذ في الطرف البعيد.
اسأل مالك البوابة أي سياسة تنطبق: جلسة واحدة لكل حساب، أو واحدة لكل شهادة، أو لا حد إطلاقًا. جوابهم يحدد هل تحتاج بيانات اعتماد جديدة أم راوترًا جديدًا.
التحقق هو الجزء الذي يتخطاه الناس. شغّل حركة مفيدة من كلا العميلين لمدة أطول من الفاصل الذي كان يفشل، لأن تسجيلَي دخول ناجحين يثبتان فقط أن المصادقة نجحت مرة لكل منهما.