L2TP/IPsec падключаецца ў адной сетцы і сканчаецца тайм-аўтам у другой

Той самы ноўтбук, той самы профіль і той самы пароль працуюць у адным будынку і не працуюць у іншым. Гэта параўнанне — самы карысны доказ у заяўцы, і звычайна яго першым і адкідаюць. Паміж дзвюма сеткамі доступу абмен праходзіць праз іншае пераўтварэнне адрасоў, іншыя фільтры і іншыя памочнікі маршрутызатара. Пакінуць кліент нязменным і змяняць толькі сетку — гэта спосаб зразумець, што з гэтага мае значэнне.

Зафіксуйце кліент, перш чым параўноўваць сеткі

Нічога не змяняйце на прыладзе, пакуль не запішаце працоўны выпадак: версію кліента, змест профілю, імя сервера і час паспяховага падключэння. Затым узнавіце збой у другой сетцы ў той жа сесіі, каб стан кліента быў як мага больш аднолькавым. Профіль, адрэдагаваны паміж дзвюма спробамі, абнуляе ўсё параўнанне. Мэта — адна зменная, і гэтая зменная — сетка.

Спачатку пацвердзіце звычайны доступ у інтэрнэт у збойнай сетцы, уключаючы гасцявы партал, калі ён ёсць. Партал, які так і не быў пройдзены, дае тайм-аўт, што выглядае дакладна як адфільтраваны тунэль, і такая праверка займае хвіліну.

Чатыры этапы, чатыры розныя паведамленні пра памылку

Падключэнне L2TP/IPsec праходзіць чатыры этапы, і RFC 3193 апісвае схему, якая звязвае першыя два. Узгадненне IKE — гэта месца, дзе адфільтраваны шлях дае ціхі тайм-аўт. Аўтэнтыфікацыя IPsec — гэта месца, дзе несупадзенне сертыфіката або загадзя агульнага ключа дае замест гэтага яўную адмову. Усталяванне тунэля L2TP — гэта месца, дзе ўжо ўсталяваная асацыяцыя бяспекі ўсё роўна можа нікуды не прывесці, а ўваход PPP — гэта месца, дзе няправільныя ўліковыя даныя нарэшце даюць бачны збой. Чытайце часопіс таго этапу, які спыніўся, а не апошняга надрукаванага радка.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Часопіс strongSwan паказвае, ці дайшоў абмен IKE да прапановы і ці адказаў партнёр наогул, што аддзяляе даступнасць ад палітыкі. Часопіс xl2tpd працягваецца там, дзе заканчваецца IPsec, таму ўсталяваная асацыяцыя бяспекі без чагосьці ў гэтым часопісе паказвае на этап L2TP. Запыт маршруту пацвярджае, што кліент накіроўвае на той адрас сервера, які вы думаеце, і гэта ловіць састарэлы адказ DNS, успадкаваны ад папярэдняй сеткі. Разам тры выхады называюць этап, а не сімптом.

Параўнайце глыбіню NAT і паводзіны памочніка

Праходжанне NAT пераводзіць абаронены трафік у інкапсуляцыю UDP калі выяўлена пераўтварэнне, таму нумары партоў, што нясуць працоўную сесію, могуць адрознівацца ад тых, што на статычнай схеме. Дазвол аднаго пакета налады нічога не даказвае пра астатні абмен, і знешняе сканаванне партоў не скажа, як партнёр абыходзіцца з сапраўдным аўтэнтыфікаваным трафікам. Другі слой пераўтварэння зноў змяняе карціну, бо супастаўленне цяпер існуе двойчы і сканчаецца па двух розных раскладах. Пераўтварэнне на ўзроўні аператара ў мабільным падключэнні — звычайная прычына, чаму працоўны офісны профіль не працуе на кропцы доступу тэлефона.

Памочнікі маршрутызатара розняцца гэтак жа моцна, як сеткі. Адны прашыўкі перахопліваюць і перапісваюць абмен, іншыя проста перастаюць яго адкідваць, а трэція ўжываюць наладу толькі ў старым рэжыме. Прачытайце апісанне сцяжка ад самай прашыўкі, і там, дзе ёсць рэжым сумяшчальнасці, праверце яго як адну ўсвядомленую змену, а не тры адразу.

Зыходны кліент, уваходны сервер: дзве розныя праблемы

Зыходнаму кліенту і ўваходнаму серверу патрэбна розная даступнасць вышэй па патоку, і функцыя пропуску, якая дапамагае першаму, нічога не робіць для другога. Хатні маршрутызатар, які дазваляе ноўтбуку дасягнуць выдаленага шлюза, не прымае праз гэта ўваходныя падключэнні да сервера за ім. Блытаніна паміж гэтымі двума прымушае вас шукаць пераадрасацыю партоў, якая ніколі не была праблемай. Перш чым штосьці параўноўваць, пакажыце, якую ролю адыгрывае збойная прылада.

Пасля падтрыманай змены паўтарыце тое самае падключэнне і запішыце дасягнуты этап. Трымайце разам працоўны профіль і нататку пра збойную сетку, не скідвайце ўліковыя даныя і не пераўсталёўвайце кліент, бо гэта адкідае доказы, на якіх будавалася параўнанне.