Вторият VPN клиент счупи първия: намерете споделения ресурс

Вчера оригиналният клиент работеше. Днес новодошлият иска връзка, докато по-старият профил спира на етап, който преди преминаваше без оплакване. Потребителските данни рядко участват, а шлюзът обикновено е невинен. Промени се това, че два VPN стека вече искат същия ексклузивен ресурс, а поправката зависи от това да го назовете. Минете през слоевете, вместо да преинсталирате и двата.

Минете четирите слоя по ред

VPN продуктът се нуждае от четири ресурса, които могат да се сблъскат: фонова услуга, която често отказва да работи два пъти, фиксиран порт, виртуален адаптер или ядрен филтър, който вижда трафика преди таблицата за маршрутизация, и правото да инсталира маршрути пред маршрута по подразбиране. Знанието кой от тях е отстъпил превръща неясния конфликт в един въпрос с проверим отговор.

Свържете симптома със слой, преди да пипате нещо. Клиент, който не стартира, сочи към услугата; такъв, който стартира и никога не договаря, сочи към порта; такъв, който се свързва, докато другият губи цялата връзка, сочи към филтъра или към маршрута по подразбиране. Запишете това съответствие, защото спестява час преинсталиране на приложения в надежда.

Започнете от услугата, която не работи два пъти

В Windows корпоративният клиент обикновено е повече от тунел, защото инсталира услуга, филтърен драйвер и понякога доставчик на идентификационни данни заедно с профила. Запишете кои услуги работят преди промяната и отново след нея, после сравнете двата списъка, вместо да рестартирате, докато нещо проработи. Услугите могат да се изключват взаимно чрез зависимости, където стартирането на една спира друга, и същият модел се появява в macOS с launchd задачи и споделен демон. Клиент, който стартира и излиза в рамките на секунди, съобщава за собственост, а не за конфигурация.

Прочетете състоянието на услугата и журнала ѝ, преди да четете профила. Услуга, която е стартирала и спряла в същата минута, е моделът, който търсите, а собственият ѝ журнал на събития назовава зависимостта, която я е изместила. Профилът не може да поправи процес, който не работи, а времето, прекарано в редактирането му, е време, което не е прекарано в истинския конфликт.

После попитайте кой притежава порта

Собствеността на порта е най-ясното доказателство, което ще получите, защото неуспешното свързване назовава конфликта направо. Две IKE реализации не могат да отговарят едновременно на същия локален адрес и UDP порт и никакво повторение не променя това.

Get-NetUDPEndpoint -LocalPort 500,4500 | Select-Object LocalAddress,LocalPort,OwningProcess
netstat -ano | findstr :500
sudo lsof -nP -iUDP:500
ss -lunp | grep -E ':500|:4500'

Който и ред да отговаря на вашата платформа, отговорът, който искате, е процес и услугата, която го е създала. Ако слушателят е вградената IKE услуга, вторият клиент е натрапникът; ако е агент на доставчик, вграденият клиент е. Решете кой може да стартира при влизане и изключете автоматичното стартиране на другия, вместо да го убивате всяка сесия.

Филтърният драйвер стои под вашите маршрути

Мрежовият филтърен драйвер прихваща трафика между адаптера и протоколния стек, така че може да пренаписва или блокира пакети независимо какво казва таблицата за маршрутизация. Така маршрут, който изглежда правилен, бива пренебрегнат и затова успешен ping може да стои до браузър, който не зарежда нищо.

Компонентите на доставчика също се свързват с конкретни връзки. Наследен филтър, свързан с един адаптер, може да попречи на иначе правилен профил да завърши ръкостискането си, а отвързването на този компонент от свойствата на адаптера е по-тясно и по-обратимо от пълното премахване на продукта. Тъй като връзката е за всяка връзка, сравнявайте адаптерите, а не целия стек.

Решете кой продукт притежава зареждането, после го запишете

Съвместното съществуване е реалистично само когато двата клиента заемат различни слоеве по замисъл, например IPsec стек до прокси, което се занимава само с трафика на приложенията. Когато и двата искат същия порт, същия филтърен слой или правото да публикуват маршрут по подразбиране, те ще продължат да се редуват и всяка повреда ще изглежда като нова.

Изберете собственика съзнателно. Формите, които оцеляват след рестарт, включват стартиране на втория клиент във виртуална машина, задържането му на отделен хардуер или стандартизиране на един клиент, който говори и двата протокола. Изключването на автоматичното стартиране и услугата на губещия е по-малка промяна от преизграждане на таблицата за маршрутизация след всяко стартиране и се обръща с едно редактиране на настройки.