Mae VPN y Mac yn cysylltu unwaith, yna’n amseru allan: glanhewch y daemon IKE

Mae’r cysylltiad cyntaf ar ôl ailgychwyn yn gweithio. Mae pob ymgais wedyn yn hongian yn ystod y cam cysylltu ac yn y pen draw yn amseru allan, a’r unig gwella effeithiol yw ailgychwyn arall. Nid yw’r patrwm hwnnw’n broblem proffil ac nid yw’n broblem gredentiadau. Mae rhywbeth yn y cefndir yn dal y cyflwr o’r ymgais flaenorol, ac mae’r ymgais nesaf yn gwrthdaro ag ef.

Ar macOS, y rhywbeth hwnnw yw’r daemon IKE fel arfer.

Y patrwm: un cysylltiad, yna amseru allan

Mae cysylltiad sy’n gweithio unwaith yn union y cychwyn yn awgrymu cyflwr sy’n goroesi datgysylltiad ond nid ailgychwyn. Mae proffiliau’n goroesi’r ddau, felly nid y proffil yw’r newidyn. Mae credentiadau’n goroesi’r ddau hefyd, oni bai bod y gweinydd yn cloi’r cyfrif. Yr hyn sy’n newid ar ailgychwyn yw’r set o daemonau sy’n rhedeg a’r socedi maen nhw’n eu dal.

Mae hynny’n culhau’r ymchwiliad cyn i chi agor un cofnod hyd yn oed. Y cwestiwn yw pa broses sy’n berchen ar borth IKE a beth mae’n meddwl ei fod yn ei wneud.

Dau daemon, un porth

Mae’r system yn rhedeg racoon pan fo cysylltiad yn siarad IKE fersiwn 1. Mae’r rhyddiadau cyfredol hefyd yn dod ag iked ar gyfer IKEv2 a’r stac IPsec mwy newydd. Gall y ddau glymu UDP 500 a UDP 4500, a gall y ddau gadw cymdeithas diogelwch hanner-agored ar ôl i ymgais cysylltu gael ei chanslo wrth anogwr y cyfrinair neu ei thorri gan newid rhwydwaith.

Pan fydd hynny’n digwydd, nid yw’r ymgais nesaf yn dechrau’n lân. Mae’n ceisio trafod tra bod yr hen gymdeithas yn dal cyflwr y cymar, ac mae’r cyfnewid yn stopio yn lle methu â gwall clir. Mae’r defnyddiwr yn gweld troellwr, yna amseru allan.

Dewch o hyd i’r perchennog cyn lladd unrhyw beth, oherwydd mae’r ateb yn pennu pa wasanaeth y byddwch yn ei ailgychwyn a pha gofnod y byddwch yn ei ddarllen nesaf.

sudo lsof -i :500 -i :4500
ps -ef | grep -E "racoon|iked"

Darllenwch yr allbwn fel dau ffaith: pa broses sy’n dal y porth, ac a oes mwy nag un ohonynt yn bresennol. Mae dau daemon IKE yn cystadlu am yr un soced yn esbonio llawer o ymddygiad ysbeidiol sy’n edrych fel gweinydd ansad.

Ailgychwynnwch y swydd, nid y broses

Ar systemau hŷn, mae lladd y broses a gadael i’r cysylltiad nesaf ei chychwyn eto yn ddigon. Ar ryddiadau cyfredol mae’r daemon yn cael ei reoli gan launchd, a gall anfon signal at y broses yn unig adael y swydd mewn cyflwr lle nad yw’n rhedeg nac wedi’i threfnu i gychwyn. Ataliwch a chychwynnwch y swydd yn lle hynny.

sudo launchctl stop com.apple.racoon
sudo launchctl start com.apple.racoon

Os nad oes gan launchd gofnod o’r swydd, mae lladd y broses wrth ei henw yn dal i orfodi trafodaeth newydd ar yr ymgais nesaf. Mae’r prawf yr un fath y naill ffordd neu’r llall: ni ddylai unrhyw broses fod yn dal y porth pan geisiwch gysylltu eto. Cadarnhewch hynny gyda’r un gorchymyn lsof yn lle tybio bod yr ailgychwyn wedi gweithio.

Yna cysylltwch unwaith a darllenwch gofnod y cleient o’r dechrau. Mae trafodaeth sy’n mynd heibio cam 1 ac yna’n adrodd methiant trosglwyddo yn ailadrodd y broblem soced leol; trafodaeth a wrthodir gan y cymar yw tocyn hollol wahanol.

Pan mai’r gweinydd sy’n gwrthod

Nid yw pob ail gysylltiad yn methu’n lleol. Gall gweinydd wrthod mewngofnodi newydd am ffenestr sefydlog ar ôl datgysylltiad, ac mae amseriad allan y cleient yn edrych yn union yr un fath â daemon wedi’i rwystro. Mae’r gwahanydd yn rhad: os nad yw ailgychwyn y daemon yn helpu ond bod cyfrif arall yn cysylltu ar unwaith, mae’r ffenestr ar ochr y gweinydd ac nid y Mac oedd y broblem erioed.

Mae polisi twnnel hollt yn cynhyrchu’r un siâp o’r cyfeiriad arall. Bydd gweinydd sy’n mynnu’r holl draffig yn y twnnel yn gollwng cleient a ffurfweddwyd ar gyfer twnnel hollt yn ystod y drafodaeth, ac mae’r cleient yn adrodd amseriad allan yn hytrach na gwrthodiad polisi. Gall newid y proffil i anfon popeth drwy’r twnnel ei gysylltu, ond penderfyniad polisi yw hwnnw i’w wneud gyda pherchennog y rhwydwaith, nid trwsiad i’w roi ar waith yn dawel.

Darllenwch gofnod y cymar cyn newid y cleient eto. Mae gwrthodiad, anghytundeb polisi a gollyngiad distaw yn dri achos gwahanol sy’n edrych i gyd fel “cysylltu” ar sgrin y Mac.

Cleientiaid hŷn a’r cnewyllyn 64-bit

Mae’r hen gleient Cisco IPSec yn llwytho estyniad cnewyllyn a adeiladwyd ar gyfer systemau 32-bit a PowerPC. Ar Mac sy’n cychwyn yn y cnewyllyn 64-bit, ni all yr estyniad hwnnw lwytho, ac mae’r cleient yn methu’n gynnar â gwall 51 oherwydd na all gyrraedd is-system y VPN o gwbl. Nid yw unrhyw faint o ailgychwyn y daemon yn trwsio estyniad cnewyllyn sydd â’r bensaernïaeth anghywir.

Gall ail-lwytho’r estyniad weithio am gyfnod ac yna methu eto ar y cychwyn nesaf. Yr atebion parhaus yw rhedeg y cnewyllyn hŷn lle mae hynny’n dal i gael ei gefnogi, neu symud i’r cleient adeiledig sy’n dod gyda’r system. Gwiriwch y bensaernïaeth cyn treulio noson ar gleient trydydd parti na all lwytho.

• Atgynhyrchwch unwaith, yna gwiriwch pa daemon sy’n berchen ar UDP 500 cyn cyffwrdd â’r proffil.
• Darllenwch y methiant cyntaf ar ôl cam 1: mae gwall trosglwyddo’n pwyntio at y soced lleol.
• Ailgychwynnwch swydd launchd, nid y broses yn unig, a chadarnhewch fod y porth yn rhydd.
• Rhowch gynnig ar ail gyfrif i wahanu ffenestr ailosod dilysu ar ochr y gweinydd oddi wrth fai yn y cleient.
• Cofnodwch bensaernïaeth y cnewyllyn cyn beio’r cleient.

Mae VPN sy’n gweithio unwaith yn union yn broblem cyflwr nes profi fel arall. Mae clirio’r daemon yn gyflymach nag ailgychwyn, ac mae’n cadw’r dystiolaeth gofnod y byddai ailgychwyn wedi’i thaflu i ffwrdd.