El segon client L2TP mata el primer? Llegeixi l’encapsulació

Un portàtil manté un túnel funcional a través del router de l’oficina. Un segon portàtil a la mateixa sala es connecta i el primer cau. Si aquest és tot el símptoma, encara hi ha tres causes diferents sobre la taula, i quina solució s’aplica depèn de coses que encara no ha mesurat. El router compartit hi té relació, però no és automàticament culpable, i el protocol tampoc.

Tres causes que des del sofà semblen idèntiques

El primer candidat és la manera com el router tracta IPsec. Els routers de consum barats sovint anuncien pas directe i l’implementen per a un sol client alhora, perquè el mecanisme segueix un únic igual i no pot separar dos portàtils darrere de la mateixa adreça pública. El símptoma és exactament el que esperaria: guanya la sessió més nova.

La segona és el compte. Molts servidors VPN permeten una sessió per identitat i desconnecten la més antiga quan les mateixes credencials s’autentiquen de nou, cosa que és una decisió de política a la passarel·la i no té res a veure amb el seu router. Busqui aquest missatge explícit al registre del servidor abans de comprar maquinari.

La tercera és una simple configuració incorrecta: dos perfils que apunten a la mateixa identitat, un d’ells amb una clau prèviament compartida obsoleta o un certificat que la passarel·la ja no accepta. Normalment es manifesta com una segona connexió fallida en lloc d’una primera caiguda, així que la forma del fracàs ja li diu alguna cosa.

Què envia realment L2TP/IPsec a través del router

IKE funciona sobre UDP 500. El camí de dades és ESP, que és el protocol IP 50 i no porta cap port TCP ni UDP. Per tant, un router que només entén ports no té res on fixar-se, i és exactament per això que existeix el mecanisme de pas directe.

Amb la travessa de NAT, ESP s’encapsula dins d’UDP 4500. Ara el router té un port d’origen per mapar, i cada portàtil obté la seva pròpia traducció, de manera que la passarel·la pot distingir dos fluxos. Aquest és el mecanisme que fa possible que diversos clients darrere d’una adreça funcionin.

La distinció importa quan llegeix la llista de funcions d’un router. Una etiqueta que diu pas directe IPsec li diu que el fabricant té algun mecanisme; no li diu si aquest mecanisme admet diversos clients ni com es comporta quan n’arriba un segon.

La documentació de strongSwan sobre la travessa de NAT descriu l’encapsulació mateixa, que és la part que pot verificar amb captures de paquets en lloc d’una pàgina de màrqueting.

Com saber quina causa té realment

Faci quatre observacions i anoti cada resultat. Cada portàtil sol: funciona, i durant quant de temps? Tots dos alhora: quin sobreviu? El segon portàtil en un punt d’accés del telèfon: el primer es manté? I a la passarel·la: el registre del servidor mostra una sessió nova que substitueix una d’antiga, o mostra un client que simplement calla?

Aquestes respostes separen els candidats amb claredat. Un missatge de substitució al registre del servidor assenyala la política d’identitat. Un client que deixa de rebre trànsit mentre el router mostra una traducció nova assenyala el router. Dos clients que tots dos no aconsegueixen completar IKE assenyalen la configuració o les credencials.

Mantingui els mateixos perfils durant tot el procés. Canviar el perfil entre proves vol dir que mesura dues variables alhora, i la conclusió serà errònia d’una manera que és molt difícil de notar.

Capturi al router si ho admet, o en un portàtil mentre l’altre es connecta. Veure aparèixer els paquets del segon client mentre s’aturen els del primer és una evidència més sòlida que qualsevol icona de connectat.

Si el router és la limitació

Utilitzi la configuració multiclient documentada del fabricant si existeix, o substitueixi l’aparell per un que la documentació digui el que necessita. Aquesta és una resposta poc glamurosa i és l’única que sobreviu a una actualització de firmware.

El que no funciona és afegir dos reenviaments d’entrada idèntics cap a dos portàtils diferents. Un reenviament diu al router on ha d’enviar el trànsit que arriba; no li diu a quin de dos fluxos actius pertany un paquet, i l’ambigüitat és l’error.

Si el router no es pot substituir, posi un client darrere d’un camí diferent. Un punt d’accés del telèfon és una solució permanent dolenta i una solució de diagnòstic perfectament bona.

Si la passarel·la és la limitació

Proporcioni identitats separades per a persones separades. Un compte compartit que fan servir dos portàtils és la disposició que produeix aquest símptoma en servidors configurats per a una sola sessió, i cap configuració local arregla una decisió presa a l’altre extrem.

Pregunti al propietari de la passarel·la quina política s’aplica: una sessió per compte, una per certificat, o cap límit. La seva resposta decideix si necessita credencials noves o un router nou.

La verificació és la part que la gent s’estalvia. Passi trànsit útil des dels dos clients durant més temps que l’interval que abans fallava, perquè dos inicis de sessió correctes només proven que l’autenticació va funcionar una vegada en cada cas.