Per què només es connecta un client VPN darrere del mateix encaminador

Dos portàtils són a la mateixa xarxa de casa, i la VPN de l'oficina n'accepta exactament un. El segon o bé s'esgota o bé espera que el primer es desconnecti, i ningú no ha tocat cap paràmetre del client entre els dos intents. Les credencials són les mateixes que funcionaven fa un minut, i aquesta és la pista que l'autenticació no és la fallada. Tres mecanismes produeixen aquest patró, i el registre del propi servidor diu a quin us enfronteu.

Llegeix el registre de la passarel·la abans de tocar cap client

El registre del servidor dels dos intents respon la primera pregunta, i ho fa d'una de tres maneres. Si el segon intent no apareix mai en aquest registre, el paquet no ha arribat mai a l'oïdor, i el problema és de l'encaminador de casa o del camí del proveïdor. Si el registre anota un intent i el rebutja, el túnel ha arribat, així que la qüestió és d'identitat, de llicència o de límit de sessions, no res del cable. Si el registre anota una sessió correcta mentre el client encara informa d'una fallada, mireu el camí de tornada o si s'està donant la mateixa adreça de túnel a dos clients.

Un punt d'accés del mòbil separa aquestes famílies de manera barata: executeu el segon client per dades mòbils mentre el primer continua connectat. L'èxit allà assenyala la xarxa de casa, i la mateixa fallada allà assenyala la passarel·la, cosa que deixa l'encaminador innocent. Cap dels dos resultats no és concloent per si sol, però cadascun elimina la meitat de l'espai de cerca en un sol intent.

Anoteu el resultat abans de canviar res, perquè les tres sortides del registre porten a tres reparacions sense relació. Una nota que digui quina de les tres heu vist val més que una captura de pantalla d'un error del client.

Què fa l'encaminador amb GRE i NAT-T

PPTP és el culpable clàssic: el canal de control és TCP 1723 mentre que el camí de dades és GRE, el protocol IP 47. Molts encaminadors domèstics porten un auxiliar PPTP que segueix una sola connexió de control, de manera que un segon client darrere del mateix NAT obre el seu canal de control i després no rep cap camí de dades. Reenviar un port TCP amb el número 47 no fa res per a GRE, perquè GRE és un número de protocol i no un port.

L2TP sobre IPsec es comporta diferent per disseny: IKE fa servir UDP 500, el travessament de NAT trasllada la càrrega protegida a UDP 4500, i l'encapsulament existeix precisament perquè diversos clients darrere d'una adreça puguin arribar a la mateixa passarel·la. Aquest disseny no impedeix que una passarel·la o un dispositiu intermedi imposi un límit de sessions per adreça, i des del sofà les dues fallades semblen idèntiques. El protocol natiu de SoftEther té la mateixa classe de problema, on un encaminador sense pas funcionant admet el primer client de la LAN i descarta el segon. Proveu l'ALG o l'interruptor de pas de l'encaminador en les dues posicions, perquè un auxiliar escrit per a un client antic pot fer malbé paquets que un client actual envia.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Límits d'identitat que semblen límits de transport

L'encaminador no és l'únic sospitós, i el registre el distingeix de l'alternativa. Quan un servidor OpenVPN fixa un nom comú a una adreça de túnel, tots dos dispositius reben aquesta adreça, i sense duplicate-cn la sessió més nova empeny la més antiga. Activar aquesta opció deixa tots dos connectats però els deixa amb una identitat, un certificat i una decisió de revocació, cosa que és pitjor del que sembla. El segon dispositiu ja no es podrà revocar mai sol, així que un interruptor de comoditat treu en silenci un control que potser necessitareu més endavant.

Llegiu el registre del servidor i el fitxer d'estat alhora, perquè un mostra la decisió d'autenticació i l'altre mostra qui hi ha connectat ara mateix. Dues entrades que comparteixen un nom comú i una adreça virtual confirmen una col·lisió d'identitat i no un límit de l'encaminador. Les passarel·les comercials afegeixen límits propis, com ara un pla que permet una sola sessió simultània, un recompte de llicències o una regla que permet una sessió per adreça pública, i cap paràmetre de l'encaminador no canvia res d'això.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Feu coincidir la reparació amb l'entrada del registre

Un rebuig al registre demana credencials separades per dispositiu, un límit més alt de qui gestiona el servei, o un segon punt final de passarel·la per a una màquina. Si cap segon intent no arriba mai al servidor, la reparació duradora és un encaminador que reenvia el protocol i aguanta més d'una sessió, o un transport que l'encaminador porta bé, com un sol flux TCP o UDP. Triar entre això és una decisió sobre la vida del maquinari, no sobre els paràmetres del client.

No copieu el perfil d'un dispositiu que funciona a la segona màquina i donem la feina per feta. Això converteix un problema de connexió en un problema de control d'accés, perquè un portàtil perdut ja no es pot distingir de la còpia que encara s'utilitza. També amaga la fallada original, que torna en el moment que apareix un tercer dispositiu.

Verificar dues sessions actives

Connecteu els dos dispositius alhora, executeu l'aplicació prevista a cadascun, i després torneu a connectar un d'ells i repetiu. Una segona icona que apareix un moment no demostra res sobre el trànsit, i una sessió que cau després de deu minuts és una altra errada amb un altre responsable. Compareu què informa el servidor al final amb què han vist els usuaris, perquè aquests dos relats sovint no coincideixen.

Si totes dues sessions sobreviuen i porten trànsit, la solució es manté i la nota que vau escriure al principi es converteix en el registre del que anava malament. Si només en sobreviu una, torneu al primer pas i comproveu quina de les tres sortides del registre teniu ara, perquè la resposta pot haver canviat. Els auxiliars de l'encaminador poden amagar un problema que reapareix en una altra xarxa, mentre que un límit per adreça segueix l'usuari i no el dispositiu. Provar des d'una segona xarxa és la manera més barata d'esbrinar quina d'aquestes coses heu arreglat de veritat.