Dræber den anden L2TP-klient den første? Læs indkapslingen

En bærbar computer holder en fungerende tunnel gennem kontorrouteren. En anden bærbar computer i samme rum opretter forbindelse, og den første falder ud. Hvis det er hele symptomet, er tre forskellige årsager stadig på bordet, og hvilken rettelse der gælder, afhænger af ting, du endnu ikke har målt. Den fælles router er relevant, men ikke automatisk skyldig, og protokollen heller ikke.

Tre årsager, der ser identiske ud fra sofaen

Den første kandidat er routerens håndtering af IPsec. Billige forbrugerroutere reklamerer ofte med pass-through og implementerer det for én klient ad gangen, fordi mekanismen følger én peer og ikke kan skelne to bærbare computere bag samme offentlige adresse. Symptomet er præcis, hvad du ville forvente: den nyere session vinder.

Den anden er kontoen. Mange VPN-servere tillader én session per identitet og afbryder den ældre, når de samme legitimationsoplysninger godkendes igen, hvilket er en politikbeslutning på gatewayen og intet har med din router at gøre. Se efter den eksplicitte meddelelse i serverloggen, før du køber hardware.

Den tredje er en simpel fejlkonfiguration: to profiler, der peger på samme identitet, den ene med en forældet forudelt nøgle eller et certifikat, som gatewayen ikke længere accepterer. Den viser sig normalt som en mislykket anden forbindelse i stedet for en afbrudt første, så fejlens form fortæller dig allerede noget.

Hvad L2TP/IPsec faktisk sender gennem routeren

IKE kører over UDP 500. Datastien er ESP, som er IP-protokol 50 og slet ikke bærer TCP- eller UDP-porte. En router, der kun forstår porte, har derfor intet at sætte tænderne i, og det er præcis derfor, pass-through-mekanismen findes.

Med NAT-gennemføring indkapsles ESP i UDP 4500. Nu har routeren en kildeport at oversætte, og hver bærbar computer får sin egen oversættelse, så gatewayen kan skelne to strømme. Det er mekanismen, der overhovedet gør flere klienter bag én adresse muligt.

Forskellen betyder noget, når du læser en routers funktionsliste. Et mærke, der siger IPsec pass-through, fortæller dig, at producenten har en eller anden mekanisme; det fortæller dig ikke, om den mekanisme understøtter flere klienter, eller hvordan den opfører sig, når den anden ankommer.

strongSwans dokumentation om NAT-gennemføring beskriver selve indkapslingen, og det er den del, du kan verificere ud fra pakkeoptagelser i stedet for en marketingside.

Sådan finder du ud af, hvilken årsag du faktisk har

Lav fire observationer, og skriv hvert resultat ned. Hver bærbar computer alene: virker det, og hvor længe? Begge på én gang: hvilken overlever? Den anden bærbar computer på et telefon-hotspot: bliver den første oppe? Og på gatewayen: viser serverloggen en ny session, der erstatter en gammel, eller viser den én klient, der bare bliver tavs?

De svar adskiller kandidaterne rent. En erstatningsmeddelelse i serverloggen peger på identitetspolitikken. En klient, der holder op med at modtage trafik, mens routeren viser en ny oversættelse, peger på routeren. To klienter, der begge ikke fuldfører IKE, peger på konfiguration eller legitimationsoplysninger.

Behold de samme profiler hele vejen igennem. At skifte profil mellem test betyder, at du måler to variabler på én gang, og konklusionen vil være forkert på en måde, der er meget svær at bemærke.

Optag på routeren, hvis den understøtter det, eller på én bærbar computer, mens den anden opretter forbindelse. At se den anden klients pakker dukke op, mens den førstes stopper, er stærkere bevis end ethvert forbundet-ikon.

Hvis routeren er begrænsningen

Brug producentens dokumenterede opsætning til flere klienter, hvis den findes, eller udskift enheden med en, hvis dokumentation siger, hvad du har brug for. Det er et uglamourøst svar, og det er det eneste, der overlever en firmwareopdatering.

Det, der ikke virker, er at tilføje to identiske indgående videresendelser mod to forskellige bærbare computere. En videresendelse fortæller routeren, hvor ankommende trafik skal sendes hen; den fortæller den ikke, hvilken af to aktive strømme en pakke tilhører, og tvetydigheden er fejlen.

Hvis routeren ikke kan udskiftes, så sæt én klient bag en anden vej. Et telefon-hotspot er en dårlig permanent løsning og en fuldstændig god diagnostisk.

Hvis gatewayen er begrænsningen

Opret separate identiteter til separate personer. Én delt konto, som to bærbare computere bruger, er den ordning, der skaber dette symptom på servere konfigureret til én session, og ingen lokal konfiguration retter en beslutning, der er truffet i den anden ende.

Spørg gatewayens ejer, hvilken politik der gælder: én session per konto, én per certifikat eller slet ingen grænse. Deres svar afgør, om du har brug for nye legitimationsoplysninger eller en ny router.

Verifikationen er den del, folk springer over. Kør nyttig trafik fra begge klienter i længere tid end det interval, der tidligere fejlede, fordi to vellykkede logins kun beviser, at godkendelsen virkede én gang hver.