L2TP/IPsec se povezuje na jednoj mreži, a na drugoj ističe vrijeme

Isti laptop, isti profil i ista lozinka rade u jednoj zgradi, a ne rade u drugoj. To poređenje je najkorisniji dokaz u prijavi i obično je prva stvar koja se odbaci. Između dvije pristupne mreže razmjena prolazi kroz drugačije prevođenje adresa, druge filtere i druge pomoćnike rutera. Zadržati klijenta nepromijenjenim i mijenjati samo mrežu je način da otkrijete šta je od toga važno.

Fiksirajte klijenta prije nego što uporedite mreže

Ne mijenjajte ništa na uređaju dok ne budete imali zapis o radnom slučaju: verziju klijenta, sadržaj profila, ime servera i vrijeme uspješnog povezivanja. Zatim ponovite kvar na drugoj mreži u istoj sesiji, da stanje klijenta bude što identičnije. Profil izmijenjen između dva pokušaja poništava cijelo poređenje. Cilj je jedna promjenljiva i ta promjenljiva je mreža.

Prvo potvrdite običan pristup internetu na kvarnej mreži, uključujući gostujući portal ako postoji. Portal koji nikada nije ispunjen daje istek vremena koji izgleda tačno kao filtrirani tunel, i ta provjera traje minut.

Četiri faze, četiri različite poruke o grešci

Veza L2TP/IPsec prolazi kroz četiri faze, i RFC 3193 opisuje raspored koji povezuje prve dvije. Pregovaranje IKE je mjesto gdje filtrirana putanja daje tihi istek vremena. Autentifikacija IPsec je mjesto gdje neslaganje certifikata ili unaprijed dijeljenog ključa daje umjesto toga eksplicitno odbijanje. Postavljanje tunela L2TP je mjesto gdje već uspostavljeno udruženje sigurnosti ipak može da ne vodi nikuda, a prijavljivanje PPP je mjesto gdje pogrešni akreditivi konačno daju vidljiv kvar. Čitajte dnevnik za fazu koja se zaustavila, ne za posljednju odštampanu liniju.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Dnevnik strongSwan-a pokazuje da li je razmjena IKE stigla do predloga i da li je partner uopšte odgovorio, što odvaja dostupnost od politike. Dnevnik xl2tpd-a nastavlja tamo gdje se IPsec završava, tako da uspostavljeno udruženje sigurnosti bez ičega u tom dnevniku ukazuje na fazu L2TP. Upit za rutu potvrđuje da klijent šalje ka adresi servera koju mislite, i to hvata zastario odgovor DNS-a naslijeđen iz prethodne mreže. Zajedno, tri izlaza imenuju fazu umjesto simptoma.

Uporedite dubinu NAT-a i ponašanje pomoćnika

Prolaz kroz NAT premješta zaštićeni saobraćaj u inkapsulaciju UDP kada se otkrije prevođenje, tako da brojevi portova koji nose radnu sesiju mogu da se razlikuju od onih na statičnoj šemi. Dozvoljavanje jednog paketa za podešavanje ne dokazuje ništa o ostatku razmjene, a spoljno skeniranje portova ne može da vam kaže kako partner tretira važeći autentifikovani saobraćaj. Drugi sloj prevođenja ponovo mijenja sliku, jer mapiranje sada postoji dvaput i ističe po dva različita rasporeda. Prevođenje na nivou operatora na mobilnoj vezi je uobičajen razlog zašto radni kancelarijski profil ne uspijeva na hotspot-u telefona.

Pomoćnici rutera se razlikuju koliko i mreže. Neki firmveri presreću i prepisuju razmjenu, drugi samo prestaju da je odbacuju, a treći primjenjuju podešavanje samo u starom režimu. Pročitajte opis polja za štrikliranje od samog firmvera i gdje postoji režim kompatibilnosti, testirajte ga kao jednu svjesnu promjenu, a ne tri odjednom.

Izlazni klijent, ulazni server: dva različita problema

Izlaznom klijentu i ulaznom serveru potrebna je različita dostupnost uzvodno, a funkcija propuštanja koja pomaže prvom ne čini ništa za drugi. Kućni ruter koji omogućava laptopu da stigne do udaljenog prolaza ne prihvata zbog toga ulazne veze ka serveru iza njega. Miješanje njih dvoje vas šalje da tražite prosljeđivanje portova koje nikada nije bilo problem. Prije nego što bilo šta uporedite, navedite koju ulogu igra kvarni uređaj.

Nakon podržane promjene ponovite istu vezu i zapišite dostignutu fazu. Držite zajedno radni profil i bilješku o kvarnej mreži, ne resetujte akreditive i ne reinstalirajte klijenta, jer to odbacuje dokaze na kojima je poređenje izgrađeno.