El segon client VPN va trencar el primer: trobeu el recurs compartit

Ahir el client original funcionava. Avui el nouvingut reclama una connexió mentre el perfil antic s'atura en una etapa que abans superava sense queixa. Les credencials poques vegades hi tenen res a veure, i la passarel·la normalment és innocent. El que ha canviat és que dues piles VPN ara volen el mateix recurs exclusiu, i la reparació depèn de saber-lo anomenar. Recorreu les capes en lloc de reinstal·lar tots dos.

Recorreu les quatre capes en ordre

Un producte VPN necessita quatre recursos que poden xocar: un servei en segon pla que sovint es nega a executar-se dues vegades, un port fix, un adaptador virtual o filtre de nucli que veu el trànsit abans que la taula d'encaminament, i el dret d'instal·lar rutes per davant de la predeterminada. Saber quin ha cedit converteix un conflicte vague en una única pregunta amb una resposta comprovable.

Mapa el símptoma a una capa abans de tocar res. Un client que no arrenca apunta al servei; un que arrenca i mai no negocia apunta al port; un que es connecta mentre l'altre perd tota la connectivitat apunta al filtre o a la ruta per defecte. Anoteu aquest mapa, perquè estalvia una hora de reinstal·lar aplicacions amb l'esperança que funcioni.

Comenceu pel servei que no s'executa dues vegades

A Windows un client corporatiu sol ser més que un túnel, perquè instal·la un servei, un controlador de filtre i de vegades un proveïdor de credencials al costat del perfil. Anoteu quins serveis s'executen abans del canvi i de nou després, i compareu les dues llistes en lloc de reiniciar fins que alguna cosa funcioni. Els serveis també es poden excloure entre si mitjançant dependències, on iniciar-ne un atura un altre, i el mateix patró apareix a macOS amb tasques launchd i un dimoni compartit. Un client que arrenca i surt en segons informa de propietat, no de configuració.

Llegiu l'estat del servei i el seu registre abans de llegir el perfil. Un servei que s'ha iniciat i aturat dins del mateix minut és el patró que cal buscar, i el seu propi registre d'esdeveniments anomena la dependència que el va desplaçar. Un perfil no pot reparar un procés que no s'executa, i el temps dedicat a editar-lo és temps no dedicat al conflicte real.

Després pregunteu qui posseeix el port

La propietat del port és l'evidència més clara que obtindreu, perquè un error d'enllaç anomena el conflicte directament. Dues implementacions IKE no poden respondre totes dues a la mateixa adreça local i port UDP, i cap quantitat de reintents ho canvia.

Get-NetUDPEndpoint -LocalPort 500,4500 | Select-Object LocalAddress,LocalPort,OwningProcess
netstat -ano | findstr :500
sudo lsof -nP -iUDP:500
ss -lunp | grep -E ':500|:4500'

Sigui quina sigui la línia que coincideixi amb la vostra plataforma, la resposta que voleu és un procés i el servei que el va crear. Si l'oient és el servei IKE integrat, el segon client és l'intrús; si és un agent de proveïdor, el client integrat ho és. Decidiu quin pot arrencar a l'inici de sessió i desactiveu l'arrencada automàtica de l'altre en lloc de matar-lo a cada sessió.

El controlador de filtre se situa sota les vostres rutes

Un controlador de filtre de xarxa intercepta el trànsit entre l'adaptador i la pila de protocols, de manera que pot reescriure o bloquejar paquets faci el que faci la taula d'encaminament. Així és com s'ignora una ruta que sembla correcta, i per això un ping correcte pot conviure amb un navegador que no carrega res.

Els components del proveïdor també s'enllacen a connexions concretes. Un filtre antic enllaçat a un adaptador pot impedir que un perfil d'altra banda correcte acabi el seu handshake, i desenllaçar aquest component de les propietats de l'adaptador és més estret i més reversible que eliminar el producte del tot. Com que l'enllaç és per connexió, compareu els adaptadors en lloc de tota la pila.

Decidiu quin producte posseeix l'arrencada i anoteu-ho

La coexistència només és realista quan els dos clients ocupen capes diferents per disseny, com una pila IPsec al costat d'un proxy que només gestiona el trànsit d'aplicacions. Quan tots dos volen el mateix port, la mateixa capa de filtre o el dret de publicar una ruta per defecte, continuaran alternant-se i cada fallada semblarà una avaria nova.

Trieu el propietari deliberadament. Les formes que sobreviuen a un reinici inclouen executar el segon client dins d'una màquina virtual, mantenir-lo en maquinari dedicat o estandarditzar-se en un sol client que parli tots dos protocols. Desactivar l'arrencada automàtica i el servei del perdedor és un canvi més petit que reconstruir la taula d'encaminament després de cada inici, i es reverteix amb una sola edició de configuració.