Der zweite VPN-Client hat den ersten lahmgelegt: Finden Sie die gemeinsame Ressource

Gestern funktionierte der ursprüngliche Client. Heute beansprucht der Neue eine Verbindung, während das ältere Profil an einer Stufe hängen bleibt, die es früher ohne Beschwerde passierte. Anmeldedaten sind selten beteiligt, und das Gateway ist meist unschuldig. Geändert hat sich, dass zwei VPN-Stapel nun dieselbe exklusive Ressource wollen, und die Reparatur hängt davon ab, sie zu benennen. Gehen Sie die Schichten durch, statt beide neu zu installieren.

Gehen Sie die vier Schichten der Reihe nach durch

Ein VPN-Produkt braucht vier Ressourcen, die kollidieren können: einen Hintergrunddienst, der oft den zweiten Start verweigert, einen festen Port, einen virtuellen Adapter oder Kernelfilter, der Datenverkehr vor der Routing-Tabelle sieht, und das Recht, Routen vor der Standardroute einzutragen. Zu wissen, welche nachgegeben hat, macht aus einem vagen Konflikt eine einzige Frage mit prüfbarer Antwort.

Ordnen Sie das Symptom einer Schicht zu, bevor Sie irgendetwas anfassen. Ein Client, der nicht startet, deutet auf den Dienst; einer, der startet und nie verhandelt, auf den Port; einer, der sich verbindet, während der andere die gesamte Konnektivität verliert, auf den Filter oder auf die Standardroute. Schreiben Sie diese Zuordnung auf, denn sie spart eine Stunde Neuinstallation von Anwendungen auf gut Glück.

Beginnen Sie beim Dienst, der nicht zweimal läuft

Unter Windows ist ein Firmenclient meist mehr als ein Tunnel, weil er neben dem Profil einen Dienst, einen Filtertreiber und manchmal einen Anmeldedatenanbieter installiert. Notieren Sie, welche Dienste vor der Änderung und danach laufen, und vergleichen Sie dann die beiden Listen, statt neu zu starten, bis etwas funktioniert. Dienste können sich auch über Abhängigkeiten gegenseitig ausschließen, wobei der Start des einen den anderen beendet, und dasselbe Muster zeigt sich unter macOS mit launchd-Jobs und einem gemeinsam genutzten Daemon. Ein Client, der innerhalb von Sekunden startet und endet, meldet Besitz und nicht Konfiguration.

Lesen Sie den Dienststatus und sein Protokoll, bevor Sie das Profil lesen. Ein Dienst, der innerhalb derselben Minute startete und stoppte, ist das Muster, nach dem Sie suchen, und sein eigenes Ereignisprotokoll nennt die Abhängigkeit, die ihn verdrängt hat. Ein Profil kann einen Prozess nicht reparieren, der nicht läuft, und Zeit, die mit seiner Bearbeitung verbracht wird, ist Zeit, die nicht für den eigentlichen Konflikt aufgewendet wird.

Fragen Sie dann, wem der Port gehört

Die Portzugehörigkeit ist der klarste Beweis, den Sie bekommen, denn ein Bind-Fehler benennt den Konflikt direkt. Zwei IKE-Implementierungen können nicht beide auf derselben lokalen Adresse und demselben UDP-Port antworten, und keine Menge an Wiederholungen ändert das.

Get-NetUDPEndpoint -LocalPort 500,4500 | Select-Object LocalAddress,LocalPort,OwningProcess
netstat -ano | findstr :500
sudo lsof -nP -iUDP:500
ss -lunp | grep -E ':500|:4500'

Welche Zeile auch zu Ihrer Plattform passt, die gewünschte Antwort ist ein Prozess und der Dienst, der ihn erzeugt hat. Ist der Listener der integrierte IKE-Dienst, ist der zweite Client der Eindringling; ist es ein Anbieteragent, ist es der integrierte Client. Entscheiden Sie, welcher beim Anmelden starten darf, und deaktivieren Sie den Autostart des anderen, statt ihn jede Sitzung zu beenden.

Der Filtertreiber sitzt unter Ihren Routen

Ein Netzwerkfiltertreiber fängt Datenverkehr zwischen dem Adapter und dem Protokollstapel ab, sodass er Pakete umschreiben oder blockieren kann, unabhängig davon, was die Routing-Tabelle sagt. So wird eine Route, die korrekt aussieht, ignoriert, und deshalb kann ein erfolgreicher Ping neben einem Browser stehen, der nichts laden kann.

Anbieterkomponenten binden sich außerdem an bestimmte Verbindungen. Ein Altfilter, der an einen Adapter gebunden ist, kann ein ansonsten korrektes Profil daran hindern, seinen Handshake abzuschließen, und das Lösen dieser Komponente von den Eigenschaften des Adapters ist enger und umkehrbarer als das vollständige Entfernen des Produkts. Da die Bindung pro Verbindung gilt, vergleichen Sie die Adapter statt des gesamten Stapels.

Entscheiden Sie, welches Produkt den Start besitzt, und halten Sie es fest

Koexistenz ist nur realistisch, wenn die beiden Clients von der Konzeption her unterschiedliche Schichten besetzen, etwa ein IPsec-Stapel neben einem Proxy, der nur Anwendungsverkehr bearbeitet. Wo beide denselben Port, dieselbe Filterschicht oder das Recht wollen, eine Standardroute zu veröffentlichen, werden sie sich weiter abwechseln, und jeder Fehler wird wie ein neuer Fehler aussehen.

Wählen Sie den Besitzer bewusst. Formen, die einen Neustart überstehen, sind etwa den zweiten Client in einer virtuellen Maschine laufen zu lassen, ihn auf dedizierter Hardware zu halten oder sich auf einen Client zu einigen, der beide Protokolle spricht. Autostart und Dienst des Verlierers zu deaktivieren ist eine kleinere Änderung als die Routing-Tabelle nach jedem Start neu aufzubauen, und sie lässt sich mit einer Einstellungsänderung rückgängig machen.