L2TP/IPsec се свързва в една мрежа и изтича по време в друга

Същият лаптоп, същият профил и същата парола работят в една сграда и се провалят в друга. Това сравнение е най-полезното доказателство в заявката и обикновено е първото нещо, което се изхвърля. Между две мрежи за достъп обменът минава през различно преобразуване на адреси, различни филтри и различни помощници на рутера. Да задържите клиента непроменен и да смените само мрежата е начинът да разберете кое от това има значение.

Фиксирайте клиента, преди да сравнявате мрежи

Не променяйте нищо на устройството, докато нямате запис на работещия случай: версия на клиента, съдържание на профила, име на сървъра и час на успешната връзка. След това възпроизведете отказа във втората мрежа в същата сесия, така че състоянието на клиента да е възможно най-идентично. Профил, редактиран между двата опита, обезсмисля цялото сравнение. Целта е една променлива и тази променлива е мрежата.

Първо потвърдете обичайния достъп до интернет в проблемната мрежа, включително гост портал, ако има такъв. Портал, който никога не е бил изпълнен, дава изтичане по време, което изглежда точно като филтриран тунел, и тази проверка отнема минута.

Четири етапа, четири различни съобщения за грешка

Връзка L2TP/IPsec преминава през четири етапа, и RFC 3193 описва схемата, която свързва първите две. Договарянето на IKE е мястото, където филтриран път дава тихо изтичане по време. Удостоверяването на IPsec е мястото, където несъответствие на сертификат или предварително споделен ключ дава вместо това явно отхвърляне. Настройката на тунела L2TP е мястото, където вече установена асоциация за сигурност все пак може да не води доникъде, а входът PPP е мястото, където грешни идентификационни данни най-накрая дават видим отказ. Четете журнала за етапа, който е спрял, не за последния отпечатан ред.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Журналът на strongSwan показва дали обменът IKE е достигнал предложение и дали партньорът изобщо е отговорил, което отделя достъпността от политиката. Журналът на xl2tpd продължава там, където свършва IPsec, така че установена асоциация за сигурност без нищо в този журнал сочи към етапа L2TP. Заявката за маршрут потвърждава, че клиентът изпраща към адреса на сървъра, който мислите, и това улавя остарял отговор на DNS, наследен от предишната мрежа. Заедно трите изхода назовават етап, а не симптом.

Сравнете дълбочината на NAT и поведението на помощника

Преминаването през NAT премества защитения трафик в UDP инкапсулация когато бъде открито преобразуване, така че номерата на портовете, носещи работеща сесия, може да се различават от тези на статична диаграма. Разрешаването на един пакет за настройка не доказва нищо за останалата част от обмена, а външно сканиране на портове не може да ви каже как партньорът се отнася към валиден удостоверен трафик. Втори слой преобразуване отново променя картината, защото съпоставянето вече съществува два пъти и изтича по два различни графика. Преобразуване на ниво оператор при мобилна връзка е обичайната причина работещ офисен профил да се проваля на hotspot на телефон.

Помощниците на рутера се различават толкова, колкото и мрежите. Някои фърмуери прихващат и пренаписват обмена, други просто спират да го изхвърлят, а трети прилагат настройката само в стар режим. Прочетете описанието на отметката от самия фърмуер и където има режим на съвместимост, тествайте го като една съзнателна промяна, а не три наведнъж.

Изходящ клиент, входящ сървър: два различни проблема

Изходящият клиент и входящият сървър се нуждаят от различна достъпност нагоре по потока и функция за преминаване, която помага на първия, не прави нищо за втория. Домашен рутер, който позволява на лаптопа да достигне отдалечен шлюз, не приема заради това входящи връзки към сървър зад него. Объркването на двете ви изпраща да търсите пренасочване на портове, което никога не е било проблемът. Преди да сравните каквото и да е, посочете каква роля играе проблемното устройство.

След поддържана промяна повторете същата връзка и запишете достигнатия етап. Пазете заедно работещия профил и бележката за проблемната мрежа, не нулирайте идентификационните данни и не преинсталирайте клиента, защото това изхвърля доказателството, върху което е изградено сравнението.