Вторият L2TP клиент убива първия? Прочетете инкапсулацията

Един лаптоп поддържа работещ тунел през офис рутера. Втори лаптоп в същата стая се свързва и първият пада. Ако това е целият симптом, три различни причини все още са на масата и кой ремонт е приложим зависи от неща, които още не сте измерили. Споделеният рутер е от значение, но не е автоматично виновен, нито протоколът.

Три причини, които изглеждат еднакво от дивана

Първият кандидат е как рутерът борави с IPsec. Евтините потребителски рутери често рекламират pass-through и го осъществяват за един клиент наведнъж, защото механизмът следи един партньор и не може да раздели два лаптопа зад един и същ публичен адрес. Симптомът е точно това, което очаквате: по-новата сесия печели.

Вторият е акаунтът. Много VPN сървъри разрешават една сесия на идентичност и прекъсват по-старата, когато същите данни за достъп се удостоверят отново; това е решение за политика на шлюза и няма нищо общо с вашия рутер. Търсете това явно съобщение в журнала на сървъра, преди да купувате хардуер.

Третият е просто грешна конфигурация: два профила, сочещи към една и съща идентичност, единият със стар предварително споделен ключ или сертификат, който шлюзът вече не приема. Обикновено това се проявява като неуспешна втора връзка, а не като прекъснала първа, така че формата на отказа вече ви казва нещо.

Какво всъщност L2TP/IPsec изпраща през рутера

IKE работи през UDP 500. Пътят на данните е ESP, който е IP протокол 50 и изобщо не носи TCP или UDP портове. Затова рутер, който разбира само портове, няма за какво да се захване и точно затова съществува механизмът за pass-through.

С NAT traversal ESP се инкапсулира в UDP 4500. Сега рутерът има изходен порт за съпоставяне и всеки лаптоп получава свой превод, така че шлюзът може да различи два потока. Това е механизмът, който въобще позволява множество клиенти зад един адрес.

Разликата е важна, когато четете списъка с функции на рутера. Етикет „IPsec pass-through“ ви казва, че доставчикът има някакъв механизъм; той не ви казва дали този механизъм поддържа няколко клиента или как се държи, когато дойде вторият.

Документацията на strongSwan за NAT traversal описва самата инкапсулация и това е частта, която можете да проверите от записи на пакети, а не от маркетингова страница.

Как да разберете коя причина всъщност имате

Направете четири наблюдения и запишете всеки резултат. Всеки лаптоп сам: работи ли и колко дълго? Двата наведнъж: кой оцелява? Вторият лаптоп на мобилна точка за достъп: първият остава ли? И на шлюза: журналът на сървъра показва ли нова сесия, заменяща стара, или показва един клиент, който просто замлъква?

Тези отговори разделят кандидатите чисто. Съобщение за замяна в журнала на сървъра сочи към политика за идентичност. Клиент, който спира да получава трафик, докато рутерът показва нов превод, сочи към рутера. Два клиента, които и двата не успяват да завършат IKE, сочат към конфигурация или данни за достъп.

Пазете същите профили през цялото време. Смяната на профила между тестовете означава, че измервате две променливи наведнъж и заключението ще е грешно по начин, който е много трудно забележим.

Правете запис на рутера, ако той го поддържа, или на един лаптоп, докато другият се свързва. Да видите пакетите на втория клиент да се появяват, докато тези на първия спират, е по-силно доказателство от всяка икона за свързване.

Ако ограничението е рутерът

Използвайте документираната от доставчика конфигурация за много клиенти, ако съществува, или сменете устройството с такова, чиято документация казва каквото ви трябва. Това е неугледен отговор и е единственият, който оцелява след актуализация на фърмуера.

Това, което не работи, е да добавите две еднакви входящи препратки към два различни лаптопа. Препратката казва на рутера къде да праща пристигащия трафик; тя не му казва към кой от два активни потока принадлежи пакетът и двусмислието е грешката.

Ако рутерът не може да се смени, сложете един клиент зад друг път. Мобилната точка за достъп е лошо постоянно решение и напълно добро диагностично.

Ако ограничението е шлюзът

Осигурете отделни идентичности за отделни хора. Един споделен акаунт, използван от два лаптопа, е подредбата, която създава този симптом на сървъри, настроени за една сесия, и никаква локална конфигурация не поправя решение, взето в другия край.

Попитайте собственика на шлюза каква политика важи: една сесия на акаунт, една на сертификат или никакво ограничение. Техният отговор решава дали ви трябват нови данни за достъп, или нов рутер.

Проверката е частта, която хората пропускат. Пуснете полезен трафик от двата клиента за по-дълго от интервала, който преди се проваляше, защото два успешни входа доказват само, че удостоверяването е проработило по веднъж.