Zabije druhý klient L2TP prvního? Přečtěte si zapouzdření

Jeden notebook drží funkční tunel přes kancelářský router. Druhý notebook ve stejné místnosti se připojí a první vypadne. Pokud je to celý symptom, na stole stále leží tři různé příčiny a to, která oprava platí, závisí na věcech, které jste ještě nezměřili. Sdílený router je podstatný, ale není automaticky vinný, a protokol také ne.

Tři příčiny, které z gauče vypadají stejně

Prvním kandidátem je zacházení routeru s IPsec. Levné spotřebitelské routery často inzerují průchod a provádějí ho pro jednoho klienta najednou, protože mechanismus sleduje jednoho partnera a nedokáže oddělit dva notebooky za stejnou veřejnou adresou. Symptom je přesně to, co byste čekali: novější relace vyhrává.

Druhým je účet. Mnoho serverů VPN povoluje jednu relaci na identitu a odpojuje starší, když se stejné přihlašovací údaje znovu ověří, což je rozhodnutí o zásadách na bráně a s vaším routerem nemá nic společného. Než koupíte hardware, hledejte tu výslovnou zprávu v logu serveru.

Třetím je prostá chybná konfigurace: dva profily ukazující na stejnou identitu, jeden z nich se zastaralým předem sdíleným klíčem nebo certifikátem, který brána už nepřijímá. Ten se obvykle projeví jako neúspěšné druhé připojení, ne jako vypadnutí prvního, takže tvar selhání vám už něco říká.

Co L2TP/IPsec skutečně posílá přes router

IKE běží přes UDP 500. Datová cesta je ESP, což je IP protokol 50 a nenese vůbec žádné porty TCP ani UDP. Router, který rozumí jen portům, tedy nemá na co navázat, a právě proto mechanismus průchodu existuje.

S průchodem NAT se ESP zapouzdřuje do UDP 4500. Nyní má router zdrojový port k mapování a každý notebook dostane svůj vlastní překlad, takže brána dokáže dva toky rozlišit. To je mechanismus, který vůbec umožňuje práci více klientů za jednou adresou.

Rozdíl je důležitý, když čtete seznam funkcí routeru. Štítek s nápisem průchod IPsec vám říká, že výrobce má nějaký mechanismus; neříká, zda tento mechanismus podporuje několik klientů nebo jak se chová, když dorazí druhý.

Dokumentace strongSwan k průchodu NAT popisuje samotné zapouzdření, a to je část, kterou můžete ověřit ze zachycených paketů, ne z marketingové stránky.

Jak zjistit, kterou příčinu skutečně máte

Proveďte čtyři pozorování a zapište každý výsledek. Každý notebook sám: funguje, a jak dlouho? Oba najednou: který přežije? Druhý notebook na telefonním hotspotu: zůstane první nahoru? A na bráně: ukazuje log serveru novou relaci, která nahrazuje starou, nebo ukazuje jednoho klienta, který prostě ztichne?

Tyto odpovědi kandidáty čistě oddělují. Zpráva o nahrazení v logu serveru ukazuje na zásady identity. Klient, který přestane přijímat provoz, zatímco router ukazuje nový překlad, ukazuje na router. Dva klienti, kteří oba nedokončí IKE, ukazují na konfiguraci nebo přihlašovací údaje.

Po celou dobu držte stejné profily. Změna profilu mezi testy znamená, že měříte dvě proměnné najednou, a závěr bude chybný způsobem, který je velmi těžké postřehnout.

Zachyťte na routeru, pokud to podporuje, nebo na jednom notebooku, zatímco se druhý připojuje. Vidět pakety druhého klienta objevovat se, zatímco pakety prvního ustávají, je silnější důkaz než jakákoli ikona připojení.

Pokud je omezením router

Použijte výrobcem zdokumentovanou konfiguraci pro více klientů, pokud existuje, nebo nahraďte zařízení takovým, jehož dokumentace říká, co potřebujete. To je nevábná odpověď a je to jediná, která přežije aktualizaci firmwaru.

Co nefunguje, je přidat dvě stejná příchozí přesměrování na dva různé notebooky. Přesměrování říká routeru, kam posílat příchozí provoz; neříká mu, ke kterému ze dvou aktivních toků paket patří, a tou nejednoznačností je chyba.

Pokud router nelze vyměnit, postavte jednoho klienta za jinou cestu. Telefonní hotspot je špatné trvalé řešení a naprosto dobré diagnostické.

Pokud je omezením brána

Zřiďte oddělené identity pro oddělené lidi. Jeden sdílený účet používaný dvěma notebooky je uspořádání, které tento symptom vytváří na serverech nastavených na jednu relaci, a žádná místní konfigurace nespraví rozhodnutí učiněné na druhém konci.

Zeptejte se vlastníka brány, která zásada platí: jedna relace na účet, jedna na certifikát, nebo žádný limit. Jejich odpověď rozhodne, zda potřebujete nové přihlašovací údaje, nebo nový router.

Ověření je ta část, kterou lidé přeskakují. Pusťte užitečný provoz z obou klientů déle než interval, který dřív selhával, protože dvě úspěšná přihlášení dokazují jen to, že ověření jednou u každého fungovalo.