İkinci L2TP müştərisi birincini öldürür? Enkapsulyasiyanı oxuyun

Bir noutbuk ofis routeri vasitəsilə işlək tunel saxlayır. Elə həmin otaqda ikinci noutbuk qoşulur və birincisi düşür. Əgər bütün simptom budursa, hələ də üç fərqli səbəb masadadır və hansı düzəlişin uyğun olduğu hələ ölçmədiyiniz şeylərdən asılıdır. Ortaq router əlaqəlidir, amma avtomatik günahkar deyil, protokol da elə.

Divandan eyni görünən üç səbəb

Birinci namizəd routerin IPsec ilə davranmasıdır. Ucuz istehlak routerləri çox vaxt pass-through elan edir və onu bir anda bir müştəri üçün həyata keçirir, çünki mexanizm bir peer izləyir və eyni ictimai ünvan arxasındakı iki noutbuku ayıra bilmir. Simptom tam gözlədiyiniz kimidir: daha yeni sessiya qalib gəlir.

İkincisi hesabdır. Bir çox VPN serveri hər kimliyə bir sessiya icazə verir və eyni etimadnamələr yenidən autentifikasiya olunduqda köhnəni kəsir; bu, şlüz tərəfində siyasət qərarıdır və routerinizlə heç bir əlaqəsi yoxdur. Avadanlıq almazdan əvvəl server jurnalında o açıq mesajı axtarın.

Üçüncüsü sadə səhv konfiqurasiyadır: eyni kimliyə baxan iki profil, onlardan biri köhnəlmiş əvvəlcədən paylaşılan açar və ya şlüzün artıq qəbul etmədiyi sertifikatla. Bu, adətən birincinin düşməsi deyil, ikinci bağlantının uğursuzluğu kimi görünür, yəni uğursuzluğun forması artıq sizə nəsə deyir.

L2TP/IPsec routerdən əslində nə keçirir

IKE UDP 500 üzərində işləyir. Məlumat yolu ESP-dir, o, IP protokolu 50-dir və heç bir TCP və ya UDP portu daşımır. Yəni yalnız portları başa düşən routerin dayana biləcəyi heç nə yoxdur və pass-through mexanizminin mövcud olmasının səbəbi məhz budur.

NAT traversal ilə ESP UDP 4500 daxilində enkapsulyasiya olunur. İndi routerin xəritələyəcəyi mənbə portu var və hər noutbuk öz tərcüməsini alır, beləliklə şlüz iki axını ayırd edə bilir. Bir ünvan arxasındakı çoxsaylı müştəriləri ümumiyyətlə işlədən mexanizm budur.

Routerin xüsusiyyət siyahısını oxuyarkən bu fərq vacibdir. «IPsec pass-through» yazan etiket sizə satıcının hansısa mexanizmi olduğunu deyir; bu mexanizmin bir neçə müştərini dəstəklədiyini və ya ikincisi gələndə necə davrandığını demir.

strongSwan-ın NAT traversal sənədləri enkapsulyasiyanın özünü təsvir edir; bu, marketinq səhifəsindən deyil, paket tutmalarından yoxlaya biləcəyiniz hissədir.

Hansı səbəbin əslində sizdə olduğunu necə bilmək olar

Dörd müşahidə aparın və hər nəticəni yazın. Hər noutbuk tək: işləyirmi və nə qədər? İkisi birlikdə: hansı sağ qalır? İkinci noutbuk telefon hotspotunda: birincisi qalırmı? Və şlüzdə: server jurnalı yeni sessiyanın köhnəni əvəz etdiyini göstərir, yoxsa sadəcə bir müştərinin səs-küysüz qaldığını?

Bu cavablar namizədləri təmiz ayırır. Server jurnalındakı əvəzetmə mesajı kimlik siyasətinə işarə edir. Router yeni tərcümə göstərərkən trafik almağı dayandıran müştəri routerə işarə edir. IKE-ni tamamlaya bilməyən iki müştəri konfiqurasiyaya və ya etimadnamələrə işarə edir.

Boyu eyni profilləri saxlayın. Testlər arasında profili dəyişmək eyni anda iki dəyişəni ölçmək deməkdir və nəticə fərqinə varmaq çox çətin olan şəkildə səhv olacaq.

Router dəstəkləyirsə, orada tutun, ya da biri qoşularkən bir noutbukda tutun. İkinci müştərinin paketlərinin görünməsini, birincinin paketləri dayanarkən görmək hər hansı qoşulma ikonundan daha güclü sübutdur.

Məhdudiyyət routerdirsə

Satıcının sənədləşdirilmiş çoxmüştəri konfiqurasiyası varsa ondan istifadə edin, ya da cihazı sənədləri ehtiyacınızı deyən biri ilə əvəz edin. Bu, gözoxşayan cavab deyil və mikroproqram yeniləməsindən sonra da qalan yeganə cavabdır.

İşləməyən şey iki fərqli noutbuka doğru iki eyni gələn istiqamətləndirmə əlavə etməkdir. İstiqamətləndirmə routerə gələn trafiki hara göndərəcəyini deyir; iki aktiv axından paketin hansına aid olduğunu demir və qeyri-müəyyənlik elə xətadır.

Routeri dəyişmək mümkün deyilsə, bir müştərini fərqli yolun arxasına qoyun. Telefon hotspotu zəif daimi həll və tamamilə yaxşı diaqnostik həlldir.

Məhdudiyyət şlüzdürsə

Ayrı adamlar üçün ayrı kimliklər təmin edin. İki noutbukun istifadə etdiyi bir ortaq hesab, bir sessiya üçün konfiqurasiya olunmuş serverlərdə bu simptomu yaradan quruluşdur və heç bir lokal konfiqurasiya uzaq tərəfdə verilən qərarı düzəltmir.

Şlüz sahibindən hansı siyasətin tətbiq olunduğunu soruşun: hesab başına bir sessiya, sertifikat başına bir, yoxsa heç limit yox. Onların cavabı yeni etimadnamələr, yoxsa yeni router lazım olduğunu həll edir.

Yoxlama insanların atladığı hissədir. Hər iki müştəridən faydalı trafiki əvvəl uğursuz olan intervaldan daha uzun işlədin, çünki iki uğurlu giriş yalnız autentifikasiyanın hər dəfə bir dəfə işlədiyini sübut edir.