দ্বিতীয় L2TP ক্লায়েন্ট কি প্রথমটিকে মেরে ফেলে? এনক্যাপসুলেশন পড়ুন
একটি কাজ করা VPN শূন্য হয়ে যায় যখন দ্বিতীয় ল্যাপটপ সংযুক্ত হয়। প্রোটোকল নয়, ESP বনাম UDP এনক্যাপসুলেশন, NAT পোর্ট ম্যাপিং ও নকল পরিচয় দেখুন।
একটি ল্যাপটপ অফিস রাউটারের মধ্য দিয়ে একটি কাজ করা টানেল ধরে রাখে। একই ঘরে দ্বিতীয় একটি ল্যাপটপ সংযুক্ত হয়, আর প্রথমটি পড়ে যায়। যদি এটাই পুরো উপসর্গ হয়, তবে তিনটি আলাদা কারণ এখনও টেবিলে আছে, এবং কোন সমাধান প্রযোজ্য তা নির্ভর করে আপনি এখনও যা মাপেননি তার উপর। ভাগ করা রাউটারটি প্রাসঙ্গিক, কিন্তু এটি স্বয়ংক্রিয়ভাবে দোষী নয়, প্রোটোকলও নয়।
তিনটি কারণ যা সোফা থেকে একই রকম দেখায়
প্রথম প্রার্থী হল রাউটারের IPsec হ্যান্ডলিং। সস্তা কনজিউমার রাউটারগুলি প্রায়ই পাস-থ্রু বিজ্ঞাপন দেয় এবং একবারে একজন ক্লায়েন্টের জন্য তা বাস্তবায়ন করে, কারণ প্রক্রিয়াটি একজন পিয়ার ট্র্যাক করে এবং একই পাবলিক ঠিকানার পিছনে দুটি ল্যাপটপ আলাদা করতে পারে না। উপসর্গটি ঠিক যা আপনি আশা করবেন: নতুন সেশনটি জেতে।
দ্বিতীয়টি হল অ্যাকাউন্ট। অনেক VPN সার্ভার প্রতি পরিচয়ে একটি সেশন অনুমোদন করে এবং একই শংসাপত্র আবার প্রমাণীকৃত হলে পুরোনোটি বিচ্ছিন্ন করে, যা গেটওয়েতে একটি নীতি সিদ্ধান্ত এবং আপনার রাউটারের সাথে এর কোনো সম্পর্ক নেই। হার্ডওয়্যার কেনার আগে সার্ভার লগে সেই স্পষ্ট বার্তাটি খুঁজুন।
তৃতীয়টি হল সাধারণ ভুল কনফিগারেশন: দুটি প্রোফাইল একই পরিচয়ের দিকে নির্দেশ করছে, তার একটিতে পুরোনো প্রি-শেয়ার্ড কী বা এমন সার্টিফিকেট যা গেটওয়ে আর গ্রহণ করে না। এটি সাধারণত প্রথমটি পড়ে যাওয়ার বদলে দ্বিতীয় সংযোগ ব্যর্থ হিসেবে দেখা দেয়, তাই ব্যর্থতার আকৃতিই ইতিমধ্যে আপনাকে কিছু বলছে।
L2TP/IPsec আসলে রাউটারের মধ্য দিয়ে কী পাঠায়
IKE চলে UDP 500-এর উপর। ডেটা পথ হল ESP, যা IP প্রোটোকল 50 এবং কোনো TCP বা UDP পোর্টই বহন করে না। তাই যে রাউটার কেবল পোর্ট বোঝে তার ধরার মতো কিছু নেই, আর ঠিক এজন্যই পাস-থ্রু ব্যবস্থাটি আছে।
NAT ট্রাভার্সালের সাথে ESP UDP 4500-এর ভিতরে এনক্যাপসুলেট হয়। এখন রাউটারের ম্যাপ করার জন্য একটি সোর্স পোর্ট আছে, এবং প্রতিটি ল্যাপটপ নিজের অনুবাদ পায়, ফলে গেটওয়ে দুটি প্রবাহ আলাদা করতে পারে। এই প্রক্রিয়াটিই এক ঠিকানার পিছনে একাধিক ক্লায়েন্টকে আদৌ কাজ করতে দেয়।
রাউটারের বৈশিষ্ট্য তালিকা পড়ার সময় এই পার্থক্যটি গুরুত্বপূর্ণ। যে লেবেলে IPsec পাস-থ্রু লেখা থাকে তা বলে ভেন্ডরের কিছু একটি প্রক্রিয়া আছে; এটি বলে না সেই প্রক্রিয়া একাধিক ক্লায়েন্ট সমর্থন করে কি না বা দ্বিতীয়টি এলে কেমন আচরণ করে।
strongSwan-এর NAT ট্রাভার্সাল ডকুমেন্টেশন এনক্যাপসুলেশনটির নিজেই বর্ণনা দেয়, আর এটাই সেই অংশ যা আপনি মার্কেটিং পৃষ্ঠার বদলে প্যাকেট ক্যাপচার থেকে যাচাই করতে পারেন।
আপনার আসলে কোন কারণটি আছে তা কীভাবে বুঝবেন
চারটি পর্যবেক্ষণ করুন এবং প্রতিটি ফলাফল লিখে রাখুন। প্রতিটি ল্যাপটপ একা: কাজ করে কি, এবং কতক্ষণ? দুটোই একসাথে: কোনটি টিকে থাকে? দ্বিতীয় ল্যাপটপটি ফোন হটস্পটে: প্রথমটি কি চালু থাকে? আর গেটওয়েতে: সার্ভার লগ কি নতুন সেশন পুরোনোটিকে প্রতিস্থাপন দেখায়, নাকি দেখায় একটি ক্লায়েন্ট কেবল চুপ হয়ে যাচ্ছে?
সেই উত্তরগুলি প্রার্থীদের পরিষ্কারভাবে আলাদা করে। সার্ভার লগে প্রতিস্থাপনের বার্তা পরিচয় নীতির দিকে নির্দেশ করে। যে ক্লায়েন্ট ট্রাফিক পাওয়া বন্ধ করে দেয় যখন রাউটার নতুন অনুবাদ দেখায়, তা রাউটারের দিকে নির্দেশ করে। দুটি ক্লায়েন্ট যাদের দুজনেই IKE সম্পূর্ণ করতে ব্যর্থ হয়, তারা কনফিগারেশন বা শংসাপত্রের দিকে নির্দেশ করে।
সর্বত্র একই প্রোফাইল রাখুন। পরীক্ষার মধ্যে প্রোফাইল বদলানো মানে আপনি একসাথে দুটি চলক মাপছেন, এবং সিদ্ধান্তটি এমনভাবে ভুল হবে যা লক্ষ্য করা খুব কঠিন।
রাউটার সমর্থন করলে সেখানেই ক্যাপচার করুন, অথবা একটি ল্যাপটপে যখন অন্যটি সংযুক্ত হয়। দ্বিতীয় ক্লায়েন্টের প্যাকেট দেখা যাওয়া যখন প্রথম ক্লায়েন্টের প্যাকেট থেমে যায়, তা যেকোনো সংযুক্ত আইকনের চেয়ে শক্তিশালী প্রমাণ।
যদি রাউটারই সীমাবদ্ধতা হয়
ভেন্ডরের নথিভুক্ত মাল্টি-ক্লায়েন্ট কনফিগারেশন থাকলে তা ব্যবহার করুন, অথবা ডিভাইসটি এমন একটি দিয়ে বদলান যার ডকুমেন্টেশন বলে আপনার যা দরকার। এটি একটি অনুজ্জ্বল উত্তর এবং ফার্মওয়্যার আপডেটের পর টিকে থাকা একমাত্র উত্তর।
যা কাজ করে না তা হল দুটি আলাদা ল্যাপটপের দিকে দুটি অভিন্ন ইনবাউন্ড ফরোয়ার্ড যোগ করা। একটি ফরোয়ার্ড রাউটারকে বলে আসা ট্রাফিক কোথায় পাঠাতে হবে; এটি বলে না দুটি সক্রিয় প্রবাহের কোনটিতে একটি প্যাকেট অন্তর্গত, এবং এই অস্পষ্টতাই ত্রুটি।
রাউটার বদলানো না গেলে একটি ক্লায়েন্টকে ভিন্ন পথের পিছনে রাখুন। ফোন হটস্পট একটি দুর্বল স্থায়ী সমাধান এবং সম্পূর্ণ ভালো একটি ডায়াগনস্টিক সমাধান।
যদি গেটওয়েই সীমাবদ্ধতা হয়
আলাদা মানুষের জন্য আলাদা পরিচয় তৈরি করুন। দুটি ল্যাপটপের ব্যবহৃত একটি ভাগ করা অ্যাকাউন্টই সেই ব্যবস্থা যা একক সেশনের জন্য কনফিগার করা সার্ভারে এই উপসর্গ তৈরি করে, এবং কোনো স্থানীয় কনফিগারেশন দূর প্রান্তে নেওয়া সিদ্ধান্ত ঠিক করে না।
গেটওয়ের মালিককে জিজ্ঞাসা করুন কোন নীতি প্রযোজ্য: প্রতি অ্যাকাউন্টে একটি সেশন, প্রতি সার্টিফিকেটে একটি, নাকি কোনো সীমা নেই। তাদের উত্তরই ঠিক করে আপনার নতুন শংসাপত্র দরকার নাকি নতুন রাউটার।
যাচাই হল সেই অংশ যা মানুষ এড়িয়ে যায়। উভয় ক্লায়েন্ট থেকে উপযোগী ট্রাফিক আগে যে ব্যবধানে ব্যর্থ হত তার চেয়ে বেশি সময় চালান, কারণ দুটি সফল লগইন কেবল প্রমাণ করে প্রমাণীকরণ প্রতিবার একবার কাজ করেছিল।