Druhý VPN klient rozbil ten první: najděte sdílený prostředek

Včera původní klient fungoval. Dnes si nováček nárokuje připojení, zatímco starší profil se zastavuje v fázi, kterou dřív procházel bez stížností. Přihlašovací údaje do toho vstupují jen zřídka a brána je obvykle nevinná. Změnilo se to, že dva VPN stacky teď chtějí stejný výhradní prostředek, a oprava závisí na tom, jestli ho pojmenujete. Projděte vrstvy, místo abyste oba přeinstalovávali.

Projděte čtyři vrstvy v pořadí

VPN produkt potřebuje čtyři prostředky, které se mohou střetnout: službu na pozadí, která často odmítá běžet dvakrát, pevný port, virtuální adaptér nebo jaderný filtr, který vidí provoz dřív než směrovací tabulka, a právo instalovat trasy před výchozí. Vědět, který z nich ustoupil, mění neurčitý konflikt v jedinou otázku s ověřitelnou odpovědí.

Přiřaďte příznak vrstvě, než se čehokoli dotknete. Klient, který se nespustí, ukazuje na službu; ten, který se spustí a nikdy nevyjednává, ukazuje na port; ten, který se připojí, zatímco druhý ztratí veškerou konektivitu, ukazuje na filtr nebo na výchozí trasu. Zapište si to přiřazení, protože ušetří hodinu přeinstalovávání aplikací v naději.

Začněte u služby, která nechce běžet dvakrát

Ve Windows je firemní klient obvykle víc než tunel, protože vedle profilu instaluje službu, filtrovací ovladač a někdy poskytovatele přihlašovacích údajů. Zaznamenejte, které služby běží před změnou a znovu po ní, a pak oba seznamy porovnejte, místo abyste restartovali, dokud něco nezačne fungovat. Služby se mohou navzájem vylučovat i pomocí závislostí, kdy spuštění jedné zastaví druhou, a stejný vzorec se objevuje v macOS u úloh launchd a sdíleného daemonu. Klient, který se spustí a během sekund skončí, hlásí vlastnictví, ne konfiguraci.

Přečtěte si stav služby a její protokol, než si přečtete profil. Služba, která se spustila a zastavila během stejné minuty, je vzorec, který hledáte, a její vlastní protokol událostí pojmenovává závislost, která ji vytlačila. Profil nemůže opravit proces, který neběží, a čas strávený jeho úpravou je čas, který není stráven skutečným konfliktem.

Pak se zeptejte, komu port patří

Vlastnictví portu je nejjasnější důkaz, který dostanete, protože selhání vazby konflikt pojmenuje přímo. Dvě implementace IKE nemohou obě odpovídat na stejné místní adrese a portu UDP a žádné množství opakování to nezmění.

Get-NetUDPEndpoint -LocalPort 500,4500 | Select-Object LocalAddress,LocalPort,OwningProcess
netstat -ano | findstr :500
sudo lsof -nP -iUDP:500
ss -lunp | grep -E ':500|:4500'

Ať vaší platformě odpovídá kterýkoli řádek, odpověď, kterou chcete, je proces a služba, která ho vytvořila. Pokud je naslouchajícím zabudovaná služba IKE, vetřelcem je druhý klient; pokud je to agent dodavatele, je jím zabudovaný klient. Rozhodněte, který smí startovat při přihlášení, a vypněte automatické spouštění druhého, místo abyste ho každou relaci zabíjeli.

Filtrovací ovladač sedí pod vašimi trasami

Síťový filtrovací ovladač zachycuje provoz mezi adaptérem a protokolovým zásobníkem, takže může pakety přepisovat nebo blokovat bez ohledu na to, co říká směrovací tabulka. Tak se ignoruje trasa, která vypadá správně, a proto může úspěšný ping sedět vedle prohlížeče, který nic nenačte.

Komponenty dodavatele se také vážou na konkrétní připojení. Starší filtr navázaný na jeden adaptér může jinak správnému profilu zabránit dokončit handshake a odpojení této komponenty z vlastností adaptéru je užší a vratnější než úplné odstranění produktu. Protože je vazba na každé připojení, porovnávejte adaptéry, ne celý zásobník.

Rozhodněte, který produkt vlastní start, a pak to zaznamenejte

Soužití je realistické jen tehdy, když dva klienti podle návrhu zaujímají různé vrstvy, například stack IPsec vedle proxy, které samo obsluhuje provoz aplikací. Kde oba chtějí stejný port, stejnou filtrovací vrstvu nebo právo publikovat výchozí trasu, budou se dál střídat a každé selhání bude vypadat jako nová závada.

Vyberte vlastníka záměrně. Formy, které přežijí restart, zahrnují spouštění druhého klienta ve virtuálním stroji, jeho držení na vyhrazeném hardwaru nebo sjednocení na jednom klientovi, který mluví oba protokoly. Vypnutí automatického spouštění a služby poraženého je menší změna než přestavba směrovací tabulky po každém startu a vrací se jednou úpravou nastavení.