Pam mai dim ond un cleient VPN sy'n cysylltu y tu ôl i'r un llwybrydd

Mae dau liniadur ar yr un rhwydwaith cartref, ac mae VPN y swyddfa yn derbyn un yn union ohonynt. Mae'r ail naill ai'n mynd i'r amser lenwi neu'n aros nes bod y cyntaf yn datgysylltu, ac ni chyffyrddodd neb â gosodiad cleient rhwng y ddau gynnig. Mae'r manylion mewngofnodi yr un fath â'r rhai a weithiodd funud yn ôl, a dyna'r cliw nad dilysu yw'r methiant. Mae tri mecanwaith yn cynhyrchu'r patrwm hwn, ac mae cofnod y gweinydd ei hun yn dweud pa un rydych yn ei wynebu.

Darllenwch gofnod y porth cyn cyffwrdd â chleient

Mae cofnod y gweinydd o'r ddau gynnig yn ateb y cwestiwn cyntaf, ac mae'n ateb mewn un o dair ffordd. Os nad yw'r ail gynnig byth yn ymddangos yn y cofnod hwnnw, ni chyrhaeddodd y pecyn y gwrandäwr o gwbl, a'r llwybrydd cartref neu lwybr y darparwr sy'n berchen ar y broblem. Os yw'r cofnod yn nodi cynnig ac yn ei wrthod, cyrhaeddodd y tiwnel, felly hunaniaeth, trwydded neu gap sesiwn sydd dan sylw, nid unrhyw beth ar y wifren. Os yw'r cofnod yn nodi sesiwn lwyddiannus tra mae'r cleient yn dal i adrodd methiant, edrychwch ar y llwybr dychwelyd neu ar ddau gleient yn cael yr un cyfeiriad tiwnel.

Mae man poeth ffôn yn gwahanu'r teuluoedd hynny'n rhad: rhedwch yr ail gleient dros ddata symudol tra mae'r cyntaf yn aros yn gysylltiedig. Mae llwyddiant yno yn awgrymu'r rhwydwaith cartref, ac mae'r un methiant yno yn awgrymu'r porth, sy'n gadael y llwybrydd yn ddieuog. Nid yw'r naill ganlyniad na'r llall yn derfynol ar ei ben ei hun, ond mae pob un yn dileu hanner y gofod chwilio mewn un cynnig.

Ysgrifennwch y canlyniad cyn newid unrhyw beth, oherwydd mae tri chanlyniad y cofnod yn arwain at dri thrwsglw gwahanol. Mae nodyn sy'n enwi pa un o'r tri a welsoch yn fwy gwerthfawr na chipio'r sgrin o wall cleient.

Beth mae'r llwybrydd yn ei wneud â GRE a NAT-T

PPTP yw'r troseddwr clasurol: y sianel reoli yw TCP 1723 tra mae'r llwybr data yn GRE, protocol IP 47. Mae llawer o lwybryddion defnyddwyr yn dod ag ategydd PPTP sy'n olrhain un cysylltiad rheoli, felly mae ail gleient y tu ôl i'r un NAT yn agor ei sianel reoli ac yna'n cael dim llwybr data o gwbl. Nid yw anfon porth TCP rhif 47 ymlaen yn gwneud dim i GRE, oherwydd rhif protocol yw GRE, nid porth.

L2TP dros IPsec yn ymddwyn yn wahanol o ran dyluniad: mae IKE yn defnyddio UDP 500, mae tramwy NAT yn symud y llwyth a ddiogelir i UDP 4500, ac mae'r amgáu yn bodoli'n union fel y gall sawl cleient y tu ôl i un cyfeiriad gyrraedd yr un porth. Nid yw'r dyluniad hwnnw'n atal porth neu flwch canolraddol rhag gosod cap sesiwn fesul cyfeiriad, ac o'r soffa mae'r ddau fethiant yn edrych yr un fath. Mae gan brotocol brodorol SoftEther yr un dosbarth o broblem, lle mae llwybrydd heb basio gweithredol yn derbyn y cleient cyntaf o'r LAN ac yn gollwng yr ail. Profwch ALG neu switsh pasio'r llwybrydd yn y ddau safle, oherwydd gall ategydd a ysgrifennwyd ar gyfer cleient hŷn lygru pecynnau y mae un cyfredol yn eu hanfon.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Capiau hunaniaeth sy'n edrych fel capiau cludiant

Nid y llwybrydd yw'r unig amheuyn, ac mae'r cofnod yn ei wahaniaethu oddi wrth y dewis arall. Pan fydd gweinydd OpenVPN yn pinio enw cyffredin i un cyfeiriad tiwnel, mae'r ddwy ddyfais yn cael y cyfeiriad hwnnw, ac heb duplicate-cn mae'r sesiwn newyddach yn gwthio'r hen un allan. Mae galluogi'r opsiwn hwnnw'n gadael y ddau yn gysylltiedig ond yn eu gadael ag un hunaniaeth, un dystysgrif ac un penderfyniad dirymu, sy'n waeth nag y mae'n edrych. Yna ni ellir dirymu'r ail ddyfais ar ei phen ei hun byth, felly mae switsh cyfleustra yn tynnu'n dawel reolaeth y gallech fod ei hangen yn ddiweddarach.

Darllenwch gofnod y gweinydd a'i ffeil statws gyda'i gilydd, oherwydd mae un yn dangos y penderfyniad dilysu a'r llall yn dangos pwy sy'n gysylltiedig ar hyn o bryd. Mae dau gofnod sy'n rhannu enw cyffredin ac un cyfeiriad rhithwir yn cadarnhau gwrthdrawiad hunaniaeth yn hytrach na chap llwybrydd. Mae pyrth masnachol yn ychwanegu capiau eu hunain, fel cynllun sy'n caniatáu un sesiwn ar y pryd, cyfrif trwyddedau, neu reol sy'n caniatáu un sesiwn fesul cyfeiriad cyhoeddus, ac nid oes unrhyw osodiad llwybrydd yn newid unrhyw un o'r rheini.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Cydweddwch y trwsgl â'r cofnod

Mae gwrthodiad yn y cofnod yn galw am fanylion mewngofnodi ar wahân i bob dyfais, cap uwch gan bwy bynnag sy'n rhedeg y gwasanaeth, neu ail bwynt terfyn porth ar gyfer un peiriant. Os nad yw unrhyw ail gynnig byth yn cyrraedd y gweinydd, y trwsgl parhaol yw llwybrydd sy'n anfon y protocol ymlaen ac yn dal mwy nag un sesiwn, neu gludiant y mae'r llwybrydd yn ei drin yn dda, fel un ffrwd TCP neu UDP. Mae dewis rhwng y rheini'n benderfyniad am oes caledwedd, nid am osodiadau cleient.

Peidiwch â chopïo proffil dyfais sy'n gweithio i'r ail beiriant a dweud bod y gwaith wedi'i wneud. Mae hynny'n troi problem gysylltu'n broblem rheoli mynediad, oherwydd ni ellir gwahaniaethu liniadur coll mwyach oddi wrth y copi sydd o hyd yn cael ei ddefnyddio. Mae hefyd yn cuddio'r nam gwreiddiol, sy'n dychwelyd yr eiliad y bydd trydedd ddyfais yn ymddangos.

Gwirio dwy sesiwn fyw

Cysylltwch y ddwy ddyfais ar yr un pryd, rhedwch y rhaglen a fwriedir ar bob un, yna ailgysylltwch un ohonynt a'i ailadrodd. Nid yw ail eicon sy'n ymddangos am ennyd yn profi dim am draffig, ac mae sesiwn sy'n disgyn ar ôl deng munud yn wall gwahanol gyda pherchennog gwahanol. Cymharwch yr hyn y mae'r gweinydd yn ei adrodd ar y diwedd â'r hyn a welodd y defnyddwyr, oherwydd yn aml nid yw'r ddau gyfrif yn cytuno.

Os yw'r ddwy sesiwn yn goroesi ac yn cario traffig, mae'r ateb yn dal, ac mae'r nodyn a ysgrifennwyd gennych ar y dechrau yn dod yn gofnod o'r hyn oedd o'i le. Os mai dim ond un sy'n goroesi, dychwelwch at y cam cyntaf a gwirio pa un o dri chanlyniad y cofnod sydd gennych nawr, oherwydd efallai bod yr ateb wedi newid. Gall ategwyr llwybrydd guddio problem sy'n ailymddangos ar rwydwaith wahanol, tra mae cap fesul cyfeiriad yn dilyn y defnyddiwr yn hytrach na'r ddyfais. Profi o ail rwydwaith yw'r ffordd rataf o ganfod pa un o'r rheini a drwsiwyd gennych mewn gwirionedd.