A yw ail gleient L2TP yn lladd y cyntaf? Darllenwch yr ymgorfforiad

Mae un liniadur yn dal twnnel gweithredol drwy rwter y swyddfa. Mae ail liniadur yn yr un ystafell yn cysylltu, ac mae’r cyntaf yn cwympo. Os mai dyna’r symptom cyfan, mae tri achos gwahanol yn dal ar y bwrdd, ac mae pa atgyweiriad sy’n berthnasol yn dibynnu ar bethau nad ydych wedi’u mesur eto. Mae’r rwter a rennir yn berthnasol, ond nid yw’n euog yn awtomatig, ac nid yw’r protocol chwaith.

Tri achos sy’n edrych yn unfath o’r soffa

Yr ymgeisydd cyntaf yw’r ffordd mae’r rwter yn trin IPsec. Mae rwteri defnyddwyr rhad yn aml yn hysbysebu pasio drwodd ac yn ei weithredu ar gyfer un cleient ar y tro, oherwydd mae’r mecanwaith yn olrhain un cymar ac ni all wahanu dau liniadur y tu ôl i’r un cyfeiriad cyhoeddus. Mae’r symptom yn union yr hyn y byddech yn ei ddisgwyl: y sesiwn newydd sy’n ennill.

Yr ail yw’r cyfrif. Mae llawer o weinyddion VPN yn caniatáu un sesiwn fesul hunaniaeth ac yn datgysylltu’r un hŷn pan fydd yr un manylion mewngofnodi yn dilysu eto, sy’n benderfyniad polisi ar y porth ac nid oes ganddo ddim i’w wneud â’ch rwter. Chwiliwch am y neges benodol honno yng nghofnod y gweinydd cyn prynu caledwedd.

Y trydydd yw camgyflunio syml: dau broffil yn pwyntio at yr un hunaniaeth, un ohonynt â chasgliad blaenorol rhannu allweddol hen neu dystysgrif nad yw’r porth yn ei derbyn mwyach. Mae hwnnw fel arfer yn dangos fel ail gysylltiad wedi methu yn hytrach na’r cyntaf wedi cwympo, felly mae siâp y methiant eisoes yn dweud rhywbeth wrthych.

Beth mae L2TP/IPsec yn ei anfon drwy’r rwter mewn gwirionedd

Mae IKE yn rhedeg dros UDP 500. Y llwybr data yw ESP, sef protocol IP 50 ac nid yw’n cario unrhyw borth TCP na UDP o gwbl. Felly nid oes gan rwter sy’n deall portiau yn unig unrhyw beth i afael ynddo, a dyna’n union pam mae’r mecanwaith pasio drwodd yn bodoli.

Gyda thramwyaeth NAT, mae ESP yn cael ei ymgorffori y tu mewn i UDP 4500. Nawr mae gan y rwter borth ffynhonnell i’w fapio, ac mae pob liniadur yn cael ei gyfieithiad ei hun, felly gall y porth wahaniaethu rhwng dau lif. Dyma’r mecanwaith sy’n galluogi sawl cleient y tu ôl i un cyfeiriad i weithio o gwbl.

Mae’r gwahaniaeth yn bwysig pan fyddwch yn darllen rhestr nodweddion rwter. Mae label sy’n dweud pasio drwodd IPsec yn dweud wrthych fod gan y gwerthwr ryw fecanwaith; nid yw’n dweud wrthych a yw’r mecanwaith hwnnw’n cefnogi sawl cleient na sut mae’n ymddwyn pan ddaw’r ail.

Mae dogfennaeth strongSwan ar dramwyaeth NAT yn disgrifio’r ymgorfforiad ei hun, a dyna’r rhan y gallwch ei gwirio o ddalennau pecynnau yn hytrach na thudalen farchnata.

Sut i wybod pa achos sydd gennych mewn gwirionedd

Gwnewch bedwar arsylwad ac ysgrifennwch bob canlyniad. Pob liniadur ar ei ben ei hun: ydyw’n gweithio, ac am ba mor hir? Y ddau gyda’i gilydd: pa un sy’n goroesi? Yr ail liniadur ar fan poeth ffôn: ydy’r cyntaf yn aros i fyny? Ac wrth y porth: ydy cofnod y gweinydd yn dangos sesiwn newydd yn disodli un hen, neu’n dangos un cleient yn syml yn mynd yn dawel?

Mae’r atebion hynny’n gwahanu’r ymgeiswyr yn lân. Mae neges ddisodli yng nghofnod y gweinydd yn pwyntio at bolisi hunaniaeth. Mae cleient sy’n stopio derbyn traffig tra bod y rwter yn dangos cyfieithiad newydd yn pwyntio at y rwter. Mae dau gleient nad ydynt ill dau yn cwblhau IKE yn pwyntio at gyfluniad neu fanylion mewngofnodi.

Cadwch yr un proffiliau drwyddi draw. Mae newid y proffil rhwng profion yn golygu eich bod yn mesur dau newidyn ar unwaith, a bydd y casgliad yn anghywir mewn ffordd sy’n anodd iawn ei sylwi.

Cofnodwch ar y rwter os yw’n cefnogi hynny, neu ar un liniadur tra bod y llall yn cysylltu. Mae gweld pecynnau’r ail gleient yn ymddangos tra bod pecynnau’r cyntaf yn stopio yn dystiolaeth gryfach nag unrhyw eicon cysylltiedig.

Os mai’r rwter yw’r cyfyngiad

Defnyddiwch gyfluniad aml-gleient dogfenedig y gwerthwr os yw’n bodoli, neu disodlwch y ddyfais ag un y mae ei dogfennaeth yn dweud yr hyn sydd ei angen arnoch. Mae hynny’n ateb digon di-fflach ac dyma’r unig un sy’n goroesi diweddariad cadarnwedd.

Yr hyn nad yw’n gweithio yw ychwanegu dau anfonblaen mynediad unfath tuag at ddau liniadur gwahanol. Mae anfonblaen yn dweud wrth y rwter ble i anfon traffig sy’n cyrraedd; nid yw’n dweud wrtho pa un o ddau lif gweithredol y mae pecyn yn perthyn iddo, a’r amwysedd yw’r nam.

Os na ellir disodli’r rwter, rhowch un cleient y tu ôl i lwybr gwahanol. Mae man poeth ffôn yn ateb parhaol gwael ac yn ateb diagnostig hollol dda.

Os mai’r porth yw’r cyfyngiad

Darparwch hunaniaethau ar wahân ar gyfer pobl ar wahân. Mae un cyfrif a rennir a ddefnyddir gan ddau liniadur yn drefniant sy’n cynhyrchu’r symptom hwn ar weinyddion a gyflunir ar gyfer un sesiwn, ac nid oes cyfluniad lleol yn trwsio penderfyniad a wneir yn y pen draw.

Gofynnwch i berchennog y porth pa bolisi sy’n berthnasol: un sesiwn fesul cyfrif, un fesul tystysgrif, neu ddim terfyn o gwbl. Eu hateb sy’n penderfynu a oes arnoch angen manylion mewngofnodi newydd neu rwter newydd.

Y gwirio yw’r rhan y mae pobl yn ei neidio. Rhedwch draffig defnyddiol o’r ddau gleient yn hirach na’r cyfwng a fyddai’n methu o’r blaen, oherwydd nid yw dau fewngofnod llwyddiannus yn profi ond bod dilysu wedi gweithio unwaith yr un.