Mae L2TP/IPsec yn cysylltu ar un rhwydwaith ac yn amseru allan ar un arall

Mae'r un gliniadur, yr un proffil a'r un cyfrinair yn gweithio mewn un adeilad ac yn methu mewn un arall. Y gymhariaeth honno yw'r dystiolaeth fwyaf defnyddiol yn y tocyn, a hi yw'r peth cyntaf a wrthodir fel arfer. Rhwng dau rwydwaith mynediad mae'r cyfnewid yn mynd trwy gyfieithiad cyfeiriadau gwahanol, hidlwyr gwahanol a chynorthwywyr llwybrydd gwahanol. Cadw'r cleient yn llonydd a newid y rhwydwaith yn unig yw'r ffordd o ddarganfod pa un o'r rhain sy'n bwysig.

Sefydlwch y cleient cyn cymharu rhwydweithiau

Peidiwch â newid dim ar y ddyfais nes bod gennych gofnod o'r achos sy'n gweithio: fersiwn y cleient, cynnwys y proffil, enw'r gweinydd ac amser y cysylltiad llwyddiannus. Yna atgynhyrchwch y methiant ar yr ail rwydwaith yn ystod yr un sesiwn, fel bod cyflwr y cleient mor debyg â phosibl. Mae proffil a olygwyd rhwng y ddau ymgais yn gwagio'r gymhariaeth gyfan. Y nod yw un newidyn, a'r newidyn hwnnw yw'r rhwydwaith.

Cadarnhewch fynediad rhyngrwyd arferol ar y rhwydwaith sy'n methu yn gyntaf, gan gynnwys porth gwesteion os oes un. Mae porth na chafodd ei fodloni erioed yn cynhyrchu amseriad allan sy'n edrych yn union fel twnnel wedi'i hidlo, ac mae'r gwiriad hwnnw'n cymryd munud.

Pedwar cam, pedwar neges wall wahanol

Mae cysylltiad L2TP/IPsec yn mynd trwy bedwar cam, ac RFC 3193 yn disgrifio'r drefniant sy'n clymu'r ddau gyntaf. Negodi IKE yw lle mae llwybr wedi'i hidlo yn cynhyrchu amseriad allan distaw. Dilysu IPsec yw lle mae anghysondeb tystysgrif neu allwedd a rannwyd ymlaen llaw yn cynhyrchu gwrthodiad penodol yn lle hynny. Gosod twnnel L2TP yw lle gall cymdeithas diogelwch sydd eisoes wedi'i sefydlu fynd i unman o hyd, a mewngofnodi PPP yw lle mae manylyn mewngofnodi anghywir o'r diwedd yn cynhyrchu methiant gweladwy. Darllenwch y log ar gyfer y cam a stopiodd, nid y llinell olaf a argraffwyd.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Mae log strongSwan yn dangos a gyrhaeddodd y cyfnewid IKE gynnig ac a atebodd y cymar o gwbl, sy'n gwahanu cyrhaeddedd oddi wrth bolisi. Mae log xl2tpd yn cymryd drosodd lle mae IPsec yn gorffen, felly mae cymdeithas diogelwch sefydledig heb ddim yn y log hwnnw yn pwyntio at gam L2TP. Mae'r ymholiad llwybr yn cadarnhau bod y cleient yn anfon tuag at y cyfeiriad gweinydd yr ydych yn credu, sy'n dal ateb DNS hen a etifeddwyd o'r rhwydwaith blaenorol. Gyda'i gilydd, mae'r tri allbwn yn enwi cam yn hytrach na symptom.

Cymharwch ddyfnder NAT ac ymddygiad y cynorthwyydd

Mae trawslifiad NAT yn symud traffig gwarchodedig i gapsleiddiad UDP pan ganfyddir cyfieithiad, felly gall y rhifau porth sy'n cario sesiwn weithredol fod yn wahanol i'r rhai mewn diagram statig. Nid yw caniatáu un pecyn gosod yn profi dim am weddill y cyfnewid, ac ni all sgan porth allanol ddweud wrthych sut mae'r cymar yn trin traffig dilysedig dilys. Mae ail haen o gyfieithiad yn newid y darlun eto, oherwydd bod y mapio bellach yn bodoli ddwywaith ac yn dod i ben ar ddau amserlen wahanol. Cyfieithiad ar lefel cludwr ar gysylltiad symudol yw'r rheswm arferol pam mae proffil swyddfa sy'n gweithio yn methu ar hotspot ffôn.

Mae cynorthwywyr llwybrydd yn amrywio cymaint â'r rhwydweithiau. Mae rhai firmware yn rhyng-gipio ac yn ailysgrifennu'r cyfnewid, mae rhai yn peidio â'i ollwng yn unig, ac mae rhai yn cymhwyso'r gosodiad mewn modd hen yn unig. Darllenwch ddisgrifiad y firmware ei hun o'r blwch ticio, a lle mae modd cydnawsedd yn bodoli, profwch ef fel un newid bwriadol yn hytrach na thri ar unwaith.

Cleient allan, gweinydd i mewn: dau broblem wahanol

Mae angen cyrhaeddedd lan gwahanol ar gleient allan a gweinydd i mewn, ac nid yw nodwedd pasio sy'n helpu'r cyntaf yn gwneud dim i'r ail. Nid yw llwybrydd cartref sy'n gadael i'r gliniadur gyrraedd porth cyrchfan bell yn derbyn cysylltiadau i mewn i weinydd y tu ôl iddo oherwydd hynny. Mae drysu'r ddau yn eich anfon i chwilio am anfon porth nad oedd erioed yn broblem. Nodwch pa rôl sydd gan y ddyfais sy'n methu cyn cymharu unrhyw beth.

Ar ôl newid a gefnogir, ailadroddwch yr un cysylltiad a chofnodwch y cam y cyrhaeddodd. Cadwch y proffil gweithredol a'r nodyn am y rhwydwaith sy'n methu gyda'i gilydd, a pheidiwch ag ailosod manylion mewngofnodi nac ailosod y cleient, oherwydd mae hynny'n taflu'r dystiolaeth yr adeiladwyd y gymhariaeth arni.