Tötet der zweite L2TP-Client den ersten? Lesen Sie die Kapselung

Ein Notebook hält einen funktionierenden Tunnel durch den Bürorouter. Ein zweites Notebook im selben Raum verbindet sich, und das erste fällt aus. Wenn das das ganze Symptom ist, stehen noch drei verschiedene Ursachen im Raum, und welche Korrektur greift, hängt von Dingen ab, die Sie noch nicht gemessen haben. Der gemeinsame Router ist relevant, aber nicht automatisch schuld, und das Protokoll auch nicht.

Drei Ursachen, die vom Sofa aus identisch aussehen

Der erste Kandidat ist der Umgang des Routers mit IPsec. Billige Consumer-Router werben oft mit Pass-Through und setzen es für jeweils einen Client um, weil der Mechanismus einen Peer verfolgt und zwei Notebooks hinter derselben öffentlichen Adresse nicht trennen kann. Das Symptom ist genau das, was Sie erwarten: Die neuere Sitzung gewinnt.

Der zweite ist das Konto. Viele VPN-Server erlauben eine Sitzung pro Identität und trennen die ältere, wenn sich dieselben Zugangsdaten erneut anmelden; das ist eine Richtlinienentscheidung am Gateway und hat nichts mit Ihrem Router zu tun. Suchen Sie diese ausdrückliche Meldung im Serverprotokoll, bevor Sie Hardware kaufen.

Der dritte ist eine schlichte Fehlkonfiguration: zwei Profile, die auf dieselbe Identität zeigen, eines davon mit einem veralteten vorab geteilten Schlüssel oder einem Zertifikat, das das Gateway nicht mehr akzeptiert. Dieser Fall zeigt sich meist als fehlgeschlagene zweite Verbindung statt als abgebrochene erste, die Form des Fehlers sagt Ihnen also schon etwas.

Was L2TP/IPsec tatsächlich durch den Router schickt

IKE läuft über UDP 500. Der Datenpfad ist ESP, das ist IP-Protokoll 50 und trägt überhaupt keine TCP- oder UDP-Ports. Ein Router, der nur Ports versteht, hat also nichts, woran er ansetzen könnte, und genau deshalb gibt es die Pass-Through-Mechanik.

Mit NAT-Traversal wird ESP in UDP 4500 gekapselt. Jetzt hat der Router einen Quellport zum Zuordnen, und jedes Notebook bekommt seine eigene Übersetzung, sodass das Gateway zwei Ströme unterscheiden kann. Das ist der Mechanismus, der mehrere Clients hinter einer Adresse überhaupt möglich macht.

Der Unterschied zählt, wenn Sie die Funktionsliste eines Routers lesen. Ein Etikett mit IPsec-Pass-Through sagt Ihnen, dass der Hersteller irgendeinen Mechanismus hat; es sagt Ihnen nicht, ob dieser Mechanismus mehrere Clients unterstützt oder wie er sich verhält, wenn der zweite ankommt.

Die NAT-Traversal-Dokumentation von strongSwan beschreibt die Kapselung selbst, und das ist der Teil, den Sie anhand von Paketmitschnitten prüfen können statt anhand einer Marketingseite.

Wie Sie feststellen, welche Ursache Sie wirklich haben

Machen Sie vier Beobachtungen und notieren Sie jedes Ergebnis. Jedes Notebook allein: Funktioniert es, und wie lange? Beide gleichzeitig: Welches überlebt? Das zweite Notebook an einem Handy-Hotspot: Bleibt das erste bestehen? Und am Gateway: Zeigt das Serverprotokoll eine neue Sitzung, die eine alte ersetzt, oder zeigt es einen Client, der einfach verstummt?

Diese Antworten trennen die Kandidaten sauber. Eine Ersetzungsmeldung im Serverprotokoll deutet auf die Identitätsrichtlinie. Ein Client, der keinen Verkehr mehr empfängt, während der Router eine neue Übersetzung zeigt, deutet auf den Router. Zwei Clients, die beide IKE nicht abschließen, deuten auf Konfiguration oder Zugangsdaten.

Behalten Sie durchgehend dieselben Profile. Das Profil zwischen Tests zu wechseln bedeutet, zwei Variablen gleichzeitig zu messen, und die Schlussfolgerung wird auf eine Weise falsch sein, die sehr schwer zu bemerken ist.

Fangen Sie am Router mit, wenn er das unterstützt, oder an einem Notebook, während das andere sich verbindet. Zu sehen, wie die Pakete des zweiten Clients auftauchen, während die des ersten aufhören, ist ein stärkerer Beweis als jedes Verbunden-Symbol.

Wenn der Router die Einschränkung ist

Nutzen Sie die dokumentierte Mehrclient-Konfiguration des Herstellers, falls es sie gibt, oder ersetzen Sie das Gerät durch eines, dessen Dokumentation sagt, was Sie brauchen. Das ist eine unglamouröse Antwort und die einzige, die ein Firmware-Update übersteht.

Was nicht funktioniert, ist das Hinzufügen zweier identischer eingehender Weiterleitungen auf zwei verschiedene Notebooks. Eine Weiterleitung sagt dem Router, wohin ankommender Verkehr zu senden ist; sie sagt ihm nicht, zu welchem von zwei aktiven Strömen ein Paket gehört, und die Mehrdeutigkeit ist der Fehler.

Wenn der Router nicht ersetzt werden kann, legen Sie einen Client hinter einen anderen Pfad. Ein Handy-Hotspot ist eine schlechte dauerhafte Lösung und eine vollkommen gute diagnostische.

Wenn das Gateway die Einschränkung ist

Richten Sie getrennte Identitäten für getrennte Personen ein. Ein gemeinsames Konto, das zwei Notebooks nutzen, ist die Anordnung, die dieses Symptom auf Servern erzeugt, die für eine einzelne Sitzung konfiguriert sind, und keine lokale Konfiguration behebt eine Entscheidung am anderen Ende.

Fragen Sie den Gateway-Eigentümer, welche Richtlinie gilt: eine Sitzung pro Konto, eine pro Zertifikat oder gar kein Limit. Dessen Antwort entscheidet, ob Sie neue Zugangsdaten oder einen neuen Router brauchen.

Die Überprüfung ist der Teil, den Leute überspringen. Lassen Sie nützlichen Verkehr von beiden Clients länger laufen als das Intervall, das früher versagte, denn zwei erfolgreiche Anmeldungen beweisen nur, dass die Authentifizierung je einmal funktioniert hat.