Другі кліент L2TP забівае першы? Чытайце інкапсуляцыю

Адзін ноўтбук трымае працоўны тунель праз офісны маршрутызатар. Другі ноўтбук у тым жа пакоі падключаецца, і першы абрываецца. Калі гэта ўвесь сімптом, на стале ўсё яшчэ тры розныя прычыны, і тое, якое выпраўленне падыходзіць, залежыць ад рэчаў, якія вы яшчэ не вымералі. Агульны маршрутызатар мае значэнне, але ён не вінаваты аўтаматычна, і пратакол таксама.

Тры прычыны, якія з канапы выглядаюць аднолькава

Першы кандыдат — тое, як маршрутызатар абыходзіцца з IPsec. Танныя спажывецкія маршрутызатары часта рэкламуюць прапусканне і рэалізуюць яго для аднаго кліента за раз, бо механізм адсочвае аднаго партнёра і не можа раздзяліць два ноўтбукі за адным публічным адрасам. Сімптом менавіта такі, як вы чакаеце: перамагае больш новая сесія.

Другая — уліковы запіс. Многія серверы VPN дазваляюць адну сесію на асобу і адключаюць старэйшую, калі тыя ж уліковыя даныя аўтэнтыфікуюцца зноў; гэта рашэнне палітыкі на шлюзе, і яно не мае нічога агульнага з вашым маршрутызатарам. Шукайце гэтае яўнае паведамленне ў журнале сервера, перш чым купляць абсталяванне.

Трэцяя — проста памылковая канфігурацыя: два профілі, накіраваныя на адну асобу, адзін з іх са састарэлым папярэдне агульным ключом або сертыфікатам, які шлюз больш не прымае. Звычайна гэта выглядае як няўдалае другое злучэнне, а не як абрыванне першага, таму форма збою ўжо нешта вам кажа.

Што L2TP/IPsec насамрэч перадае праз маршрутызатар

IKE працуе праз UDP 500. Шлях даных — ESP, гэта IP-пратакол 50, і ён зусім не нясе партоў TCP або UDP. Таму маршрутызатару, які разумее толькі парты, няма за што зачапіцца, і менавіта таму існуе механізм прапускання.

З пераадоленнем NAT ESP інкапсулюецца ўнутры UDP 4500. Цяпер у маршрутызатара ёсць парт крыніцы для адлюстравання, і кожны ноўтбук атрымлівае ўласны пераклад, таму шлюз можа адрозніць два патокі. Менавіта гэты механізм наогул дазваляе працу некалькім кліентам за адным адрасам.

Гэтае адрозненне важнае, калі вы чытаеце спіс функцый маршрутызатара. Этыкетка «прапусканне IPsec» кажа вам, што ў пастаўшчыка ёсць нейкі механізм; яна не кажа, ці падтрымлівае гэты механізм некалькі кліентаў і як ён сябе паводзіць, калі прыходзіць другі.

Дакументацыя strongSwan пра пераадоленне NAT апісвае само інкапсуляванне, і менавіта гэтую частку вы можаце праверыць па захопах пакетаў, а не па маркетынгавай старонцы.

Як зразумець, якая прычына ў вас насамрэч

Зрабіце чатыры назіранні і запішыце кожны вынік. Кожны ноўтбук асобна: ці працуе і як доўга? Абодва адначасова: які выжывае? Другі ноўтбук на мабільнай кропцы доступу: ці трымаецца першы? І на шлюзе: ці паказвае журнал сервера новую сесію, што замяняе старую, ці паказвае аднаго кліента, які проста змаўкае?

Гэтыя адказы чыста раздзяляюць кандыдатаў. Паведамленне пра замену ў журнале сервера ўказвае на палітыку асоб. Кліент, які перастае атрымліваць трафік, пакуль маршрутызатар паказвае новы пераклад, указвае на маршрутызатар. Два кліенты, якія абодва не могуць завяршыць IKE, указваюць на канфігурацыю або ўліковыя даныя.

Трымайце адны і тыя ж профілі ўвесь час. Змена профілю паміж тэстамі азначае, што вы вымяраеце дзве зменныя адначасова, і выснова будзе памылковай так, што гэта вельмі цяжка заўважыць.

Рабіце захоп на маршрутызатары, калі ён гэта падтрымлівае, або на адным ноўтбуку, пакуль другі падключаецца. Бачыць, як пакеты другога кліента з’яўляюцца, пакуль пакеты першага спыняюцца, — гэта мацнейшы доказ, чым любая іконка злучэння.

Калі абмежаванне — маршрутызатар

Выкарыстоўвайце дакументаваную шматкліенцкую канфігурацыю пастаўшчыка, калі яна існуе, або заменіце прыладу на такую, чыя дакументацыя кажа тое, што вам трэба. Гэта непрыгожы адказ, і гэта адзіны, які перажывае абнаўленне прашыўкі.

Не працуе даданне двух аднолькавых уваходных накіраванняў да двух розных ноўтбукаў. Накіраванне кажа маршрутызатару, куды адпраўляць прыбылы трафік; яно не кажа, да якога з двух актыўных патокаў належыць пакет, і гэтая неадназначнасць і ёсць памылкай.

Калі маршрутызатар нельга замяніць, пастаўце аднаго кліента за іншы шлях. Мабільная кропка доступу — дрэннае пастаяннае рашэнне і цалкам добрае дыягнастычнае.

Калі абмежаванне — шлюз

Забяспечце асобныя асобы для асобных людзей. Адзін агульны ўліковы запіс, які выкарыстоўваюць два ноўтбукі, — гэта схема, якая стварае гэты сімптом на серверах, наладжаных на адну сесію, і ніякая лакальная канфігурацыя не выправіць рашэнне, прынятае на тым канцы.

Спытайце ўладальніка шлюза, якая палітыка дзейнічае: адна сесія на ўліковы запіс, адна на сертыфікат або без абмежаванняў. Іх адказ вырашае, ці патрэбны вам новыя ўліковыя даныя, ці новы маршрутызатар.

Праверка — гэта частка, якую людзі прапускаюць. Пусціце карысны трафік з абодвух кліентаў даўжэй за інтэрвал, які раней зрываўся, бо два паспяховыя ўваходы даказваюць толькі тое, што аўтэнтыфікацыя спрацавала па адным разе.