Другі VPN-кліент зламаў першы: знайдзіце агульны рэсурс

Учора арыгінальны кліент працаваў. Сёння навічок запытвае злучэнне, а стары профіль спыняецца на этапе, які раней праходзіў без скаргаў. Уліковыя даныя ўдзельнічаюць рэдка, і шлюз звычайна невінаваты. Змянілася тое, што два стэкі VPN цяпер хочуць адзін і той жа эксклюзіўны рэсурс, і рамонт залежыць ад таго, ці назавяце вы яго. Прайдзіце па ўзроўнях замест таго, каб пераўсталёўваць абодва.

Прайдзіце чатыры ўзроўні па парадку

Прадукту VPN патрэбныя чатыры рэсурсы, якія могуць сутыкацца: фонавая служба, якая часта адмаўляецца працаваць двойчы, фіксаваны порт, віртуальны адаптар або фільтр ядра, які бачыць трафік раней за табліцу маршрутызацыі, і права ўсталёўваць маршруты перад маршрутам па змаўчанні. Веданне таго, які з іх саступіў, ператварае невыразны канфлікт у адно пытанне з правяральным адказам.

Супaстаўце сімптом з узроўнем, перш чым нешта чапаць. Кліент, які не запускаецца, паказвае на службу; той, што запускаецца і ніколі не ўзгадняе параметры, паказвае на порт; той, што злучаецца, пакуль іншы губляе ўсю сувязь, паказвае на фільтр або на маршрут па змаўчанні. Запішыце гэтае супастаўленне, бо яно эканоміць гадзіну пераўсталёўкі праграм у надзеі.

Пачніце са службы, якая не хоча працаваць двойчы

У Windows карпаратыўны кліент звычайна большы за тунель, бо ён усталёўвае службу, драйвер фільтра і часам пастаўшчыка ўліковых даных разам з профілем. Запішыце, якія службы працавалі да змены і зноў пасля яе, потым параўнайце два спісы замест перазагрузкі, пакуль нешта не запрацуе. Службы таксама могуць выключаць адна адну праз залежнасці, калі запуск адной спыняе другую, і той жа ўзор сустракаецца ў macOS з заданнямі launchd і агульным дэманам. Кліент, які запускаецца і выходзіць за некалькі секунд, паведамляе пра ўласнасць, а не пра канфігурацыю.

Прачытайце стан службы і яе журнал, перш чым чытаць профіль. Служба, якая запусцілася і спынілася ў адну і тую ж хвіліну, — гэта той узор, які трэба шукаць, і яе ўласны журнал падзей называе залежнасць, якая яе выцесніла. Профіль не можа адрамантаваць працэс, які не працуе, і час, выдаткаваны на яго рэдагаванне, — гэта час, не выдаткаваны на сапраўдны канфлікт.

Затым спытайце, каму належыць порт

Уласнасць порта — гэта самае яснае сведчанне, якое вы атрымаеце, бо памылка прывязкі прама называе канфлікт. Дзве рэалізацыі IKE не могуць абедзве адказваць на адным і тым жа лакальным адрасе і порце UDP, і ніякая колькасць паўтораў гэтага не зменіць.

Get-NetUDPEndpoint -LocalPort 500,4500 | Select-Object LocalAddress,LocalPort,OwningProcess
netstat -ano | findstr :500
sudo lsof -nP -iUDP:500
ss -lunp | grep -E ':500|:4500'

Які б радок ні адпавядаў вашай платформе, адказ, які вам патрэбны, — гэта працэс і служба, якая яго спарадзіла. Калі слухач — убудаваная служба IKE, другі кліент з'яўляецца непажаданым госцем; калі гэта агент пастаўшчыка, убудаваны кліент такі. Вырашыце, які з іх можа запускацца пры ўваходзе, і адключыце аўтазапуск другога замест таго, каб забіваць яго кожную сесію.

Драйвер фільтра знаходзіцца ніжэй за вашыя маршруты

Сеткавы драйвер фільтра перахоплівае трафік паміж адаптарам і стэкам пратаколаў, таму ён можа перапісваць або блакаваць пакеты незалежна ад таго, што кажа табліца маршрутызацыі. Менавіта так маршрут, які выглядае правільным, ігнаруецца, і менавіта таму паспяховы ping можа стаяць побач з браўзерам, які нічога не загружае.

Кампаненты пастаўшчыка таксама прывязваюцца да пэўных злучэнняў. Стары фільтр, прывязаны да аднаго адаптара, можа перашкодзіць іншым разам правільнаму профілю завяршыць рукапацісканне, і адвязванне гэтага кампанента ад уласцівасцей адаптара вузчэйшае і больш зварачальнае, чым поўнае выдаленне прадукту. Паколькі прывязка дзейнічае для кожнага злучэння, параўноўвайце адаптары, а не ўвесь стэк.

Вырашыце, які прадукт валодае загрузкай, потым запішыце гэта

Суіснаванне рэалістычнае толькі тады, калі два кліенты займаюць розныя ўзроўні па задуме, напрыклад стэк IPsec побач з проксі, які апрацоўвае толькі трафік праграм. Там, дзе абодва хочуць адзін і той жа порт, адзін і той жа ўзровень фільтра або права публікаваць маршрут па змаўчанні, яны будуць па чарзе саступаць адно аднаму, і кожная няўдача будзе выглядаць як новая паломка.

Выбірайце ўладальніка свядома. Формы, якія выжываюць пасля перазагрузкі, уключаюць запуск другога кліента ўнутры віртуальнай машыны, утрыманне яго на выдзеленым абсталяванні або стандартызацыю на адным кліенце, які размаўляе на абодвух пратаколах. Адключэнне аўтазапуску і службы прайграўшага — гэта меншае змяненне, чым перабудова табліцы маршрутызацыі пасля кожнага запуску, і яно адмяняецца адным рэдагаваннем налад.