L2TP/IPsec bir şəbəkədə qoşulur, digərində vaxt aşımına düşür

Eyni noutbuk, eyni profil və eyni parol bir binada işləyir, digərində uğursuz olur. Bu müqayisə biletin ən faydalı sübutudur və adətən atılan ilk şeydir. İki giriş şəbəkəsi arasında mübadilə fərqli ünvan tərcüməsi, fərqli filtrlər və fərqli marşrutlaşdırıcı köməkçilərindən keçir. Müştərini sabit saxlayıb yalnız şəbəkəni dəyişmək bunlardan hansının vacib olduğunu tapmağın yoludur.

Şəbəkələri müqayisə etməzdən əvvəl müştərini sabitləyin

İşləyən halın qeydini tutana qədər cihazda heç nəyi dəyişməyin: müştəri versiyası, profilin məzmunu, server adı və uğurlu bağlantının vaxtı. Sonra nasazlığı ikinci şəbəkədə həmin sessiya ərzində təkrarlayın ki, müştəri vəziyyəti mümkün qədər eyni olsun. İki cəhd arasında redaktə edilən profil bütün müqayisəni etibarsız edir. Məqsəd bir dəyişəndir və o dəyişən şəbəkədir.

Əvvəlcə nasaz şəbəkədə adi internet girişini təsdiqləyin, varsa qonaq portalı da daxil olmaqla. Heç vaxt tamamlanmamış portal tam olaraq filtrlənmiş tunelə bənzəyən vaxt aşımı yaradır və bu yoxlama bir dəqiqə çəkir.

Dörd mərhələ, dörd fərqli xəta mesajı

L2TP/IPsec bağlantısı dörd mərhələdən keçir və RFC 3193 ilk ikisini birləşdirən düzümü təsvir edir. IKE danışıqları filtrlənmiş yolun səssiz vaxt aşımı yaratdığı yerdir. IPsec autentifikasiyası sertifikat və ya əvvəlcədən paylaşılmış açar uyğunsuzluğunun əvəzində açıq rədd yaratdığı yerdir. L2TP tunelinin qurulması artıq qurulmuş təhlükəsizlik assosiasiyasının yenə də heç yerə aparmaya biləcəyi yerdir və PPP girişi yanlış etimad məlumatının nəhayət görünən nasazlıq yaratdığı yerdir. Dayanan mərhələnin jurnalını oxuyun, çap edilən son sətrin deyil.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

strongSwan jurnalı IKE mübadiləsinin təklifə çatıb-çatmadığını və qarşı tərəfin ümumiyyətlə cavab verib-vermədiyini göstərir ki, bu da çatımlılığı siyasətdən ayırır. xl2tpd jurnalı IPsec-in bitdiyi yerdən davam edir, buna görə həmin jurnalda heç nə olmayan qurulmuş təhlükəsizlik assosiasiyası L2TP mərhələsinə işarə edir. Marşrut sorğusu müştərinin düşündüyünüz server ünvanına göndərdiyini təsdiqləyir və əvvəlki şəbəkədən miras qalmış köhnə DNS cavabını tutur. Birlikdə, üç çıxış bir simptom əvəzinə mərhələ adlandırır.

NAT dərinliyini və köməkçinin davranışını müqayisə edin

NAT keçidi qorunan trafiki UDP enkapsulyasiyasına keçirir tərcümə aşkar edildikdə, buna görə işləyən sessiyanı daşıyan port nömrələri statik diaqramdakılardan fərqli ola bilər. Bir quraşdırma paketinə icazə vermək mübadilənin qalan hissəsi haqqında heç nə sübut etmir və xarici port skanı qarşı tərəfin etibarlı autentifikasiya edilmiş trafikə necə yanaşdığını sizə deyə bilməz. İkinci tərcümə qatı mənzərəni yenidən dəyişir, çünki xəritələmə indi iki dəfə mövcuddur və iki fərqli cədvələ görə bitir. Mobil bağlantıda operator səviyyəsində tərcümə işləyən ofis profilinin telefon hotspotunda uğursuz olmasının adi səbəbidir.

Marşrutlaşdırıcı köməkçiləri şəbəkələr qədər fərqlənir. Bəzi firmware mübadiləni tutub yenidən yazır, bəziləri sadəcə onu atmağı dayandırır, bəziləri isə parametri yalnız köhnə rejimdə tətbiq edir. Firmware-in onay qutusu haqqında öz təsvirini oxuyun və uyğunluq rejimi varsa, onu eyni anda üç deyil, bir şüurlu dəyişiklik kimi sınayın.

Gedən müştəri, girən server: iki fərqli problem

Gedən müştəri və girən server fərqli yuxarı axın çatımlılığına ehtiyac duyur və birinciyə kömək edən keçid funksiyası ikinci üçün heç nə etmir. Noutbukun uzaq şlüzə çatmasına imkan verən ev marşrutlaşdırıcısı bununla arxasındakı serverə girən bağlantıları qəbul etmir. İkisini qarışdırmaq sizi heç vaxt problem olmayan port yönləndirməsi axtarışına göndərir. Hər hansı bir şeyi müqayisə etməzdən əvvəl nasaz cihazın hansı rolu oynadığını bildirin.

Dəstəklənən dəyişiklikdən sonra eyni bağlantını təkrarlayın və çatdığı mərhələni qeyd edin. İşləyən profili və nasaz şəbəkə haqqındakı qeydi birlikdə saxlayın, etimad məlumatlarını sıfırlamayın və müştərini yenidən quraşdırmayın, çünki bu müqayisənin üzərində qurulduğu sübutu atır.