L2TP/IPsec verbindet in einem Netz und läuft im anderen in eine Zeitüberschreitung

Derselbe Laptop, dasselbe Profil und dasselbe Passwort funktionieren in einem Gebäude und scheitern im anderen. Dieser Vergleich ist der nützlichste Beleg im Ticket, und er ist meist das Erste, was verworfen wird. Zwischen zwei Zugangsnetzen durchläuft der Austausch eine andere Adressübersetzung, andere Filter und andere Router-Helfer. Den Client unverändert zu lassen und nur das Netz zu wechseln ist der Weg herauszufinden, was davon zählt.

Den Client festlegen, bevor Netze verglichen werden

Ändern Sie nichts am Gerät, bis Sie den funktionierenden Fall dokumentiert haben: Client-Version, Profilinhalt, Servername und Uhrzeit der erfolgreichen Verbindung. Reproduzieren Sie dann den Fehler im zweiten Netz während derselben Sitzung, damit der Client-Zustand so identisch wie möglich ist. Ein zwischen den beiden Versuchen bearbeitetes Profil macht den gesamten Vergleich ungültig. Das Ziel ist eine Variable, und diese Variable ist das Netz.

Bestätigen Sie zuerst den gewöhnlichen Internetzugang im fehlerhaften Netz, einschließlich eines Gästeportals, falls vorhanden. Ein Portal, das nie erfüllt wurde, erzeugt eine Zeitüberschreitung, die genau wie ein gefilterter Tunnel aussieht, und diese Prüfung dauert eine Minute.

Vier Phasen, vier verschiedene Fehlermeldungen

Eine L2TP/IPsec-Verbindung durchläuft vier Phasen, und RFC 3193 beschreibt die Anordnung, die die ersten beiden verbindet. Die IKE-Aushandlung ist der Punkt, an dem ein gefilterter Pfad eine stille Zeitüberschreitung erzeugt. Die IPsec-Authentifizierung ist der Punkt, an dem eine Abweichung bei Zertifikat oder vorab geteiltem Schlüssel stattdessen eine ausdrückliche Ablehnung erzeugt. Der L2TP-Tunnelaufbau ist der Punkt, an dem eine bestehende Sicherheitsassoziation trotzdem nirgendwohin führen kann, und die PPP-Anmeldung ist der Punkt, an dem ein falsches Anmeldedatum endlich einen sichtbaren Fehler erzeugt. Lesen Sie das Protokoll für die Phase, die angehalten hat, nicht für die letzte Zeile, die ausgegeben wurde.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Das strongSwan-Protokoll zeigt, ob der IKE-Austausch einen Vorschlag erreicht hat und ob der Peer überhaupt geantwortet hat, was Erreichbarkeit von Richtlinie trennt. Das xl2tpd-Protokoll setzt dort an, wo IPsec endet, sodass eine bestehende Sicherheitsassoziation ohne Eintrag in diesem Protokoll auf die L2TP-Phase zeigt. Die Routenabfrage bestätigt, dass der Client an die Serveradresse sendet, die Sie vermuten, und fängt so eine veraltete DNS-Antwort aus dem vorherigen Netz ab. Zusammen benennen die drei Ausgaben eine Phase statt eines Symptoms.

NAT-Tiefe und Helferverhalten vergleichen

NAT-Traversal verlagert geschützten Verkehr auf UDP-Kapselung, sobald eine Übersetzung erkannt wird, weshalb die Portnummern einer funktionierenden Sitzung von denen in einem statischen Diagramm abweichen können. Ein einzelnes Aufbau-Paket zuzulassen beweist nichts für den Rest des Austauschs, und ein externer Portscan kann Ihnen nicht sagen, wie der Peer gültigen authentifizierten Verkehr behandelt. Eine zweite Übersetzungsschicht verändert das Bild erneut, weil die Zuordnung nun zweimal existiert und nach zwei verschiedenen Zeitplänen abläuft. Übersetzung auf Netzbetreiberniveau bei einer Mobilverbindung ist der übliche Grund, warum ein funktionierendes Büroprofil an einem Handy-Hotspot scheitert.

Router-Helfer unterscheiden sich so stark wie die Netze. Manche Firmware fängt den Austausch ab und schreibt ihn um, manche hört nur auf, ihn zu verwerfen, und manche wendet die Einstellung nur in einem älteren Modus an. Lesen Sie die eigene Beschreibung der Firmware für das Kontrollkästchen, und wo ein Kompatibilitätsmodus existiert, testen Sie ihn als eine bewusste Änderung statt als drei auf einmal.

Ausgehender Client, eingehender Server: zwei verschiedene Probleme

Ein ausgehender Client und ein eingehender Server brauchen unterschiedliche Erreichbarkeit im Upstream, und eine Durchreichfunktion, die dem ersten hilft, bewirkt für den zweiten nichts. Ein Heimrouter, der dem Laptop den Zugang zu einem entfernten Gateway erlaubt, akzeptiert dadurch keine eingehenden Verbindungen zu einem Server dahinter. Die beiden zu verwechseln schickt Sie auf die Suche nach Portweiterleitung, die nie das Problem war. Legen Sie fest, welche Rolle das fehlerhafte Gerät spielt, bevor Sie irgendetwas vergleichen.

Wiederholen Sie nach einer unterstützten Änderung dieselbe Verbindung und notieren Sie die erreichte Phase. Bewahren Sie das funktionierende Profil und die Notiz zum fehlerhaften Netz zusammen auf, und setzen Sie keine Anmeldedaten zurück und installieren Sie den Client nicht neu, denn das verwirft die Belege, auf denen der Vergleich aufbaut.