Το L2TP/IPsec συνδέεται σε ένα δίκτυο και λήγει σε άλλο

Ο ίδιος φορητός υπολογιστής, το ίδιο προφίλ και ο ίδιος κωδικός πρόσβασης λειτουργούν σε ένα κτίριο και αποτυγχάνουν σε άλλο. Αυτή η σύγκριση είναι το πιο χρήσιμο στοιχείο στο δελτίο και συνήθως είναι το πρώτο πράγμα που πετιέται. Μεταξύ δύο δικτύων πρόσβασης, η ανταλλαγή περνά από διαφορετική μετάφραση διευθύνσεων, διαφορετικά φίλτρα και διαφορετικούς βοηθούς δρομολογητή. Το να κρατήσετε τον πελάτη σταθερό και να αλλάξετε μόνο το δίκτυο είναι ο τρόπος να βρείτε ποιο από αυτά έχει σημασία.

Καθορίστε τον πελάτη πριν συγκρίνετε δίκτυα

Μην αλλάξετε τίποτα στη συσκευή μέχρι να έχετε καταγραφή της περίπτωσης που λειτουργεί: έκδοση πελάτη, περιεχόμενο προφίλ, όνομα διακομιστή και ώρα της επιτυχημένης σύνδεσης. Στη συνέχεια αναπαράγετε την αποτυχία στο δεύτερο δίκτυο κατά την ίδια συνεδρία, ώστε η κατάσταση του πελάτη να είναι όσο το δυνατόν ίδια. Ένα προφίλ που επεξεργάστηκε ανάμεσα στις δύο προσπάθειες ακυρώνει ολόκληρη τη σύγκριση. Ο στόχος είναι μία μεταβλητή, και αυτή η μεταβλητή είναι το δίκτυο.

Επιβεβαιώστε πρώτα τη συνηθισμένη πρόσβαση στο διαδίκτυο στο δίκτυο που αποτυγχάνει, συμπεριλαμβανομένης μιας πύλης επισκεπτών αν υπάρχει. Μια πύλη που δεν ικανοποιήθηκε ποτέ παράγει λήξη χρόνου που μοιάζει ακριβώς με φιλτραρισμένη σήραγγα, και ο έλεγχος αυτός παίρνει ένα λεπτό.

Τέσσερα στάδια, τέσσερα διαφορετικά μηνύματα σφάλματος

Μια σύνδεση L2TP/IPsec περνά από τέσσερα στάδια, και RFC 3193 περιγράφει τη διάταξη που συνδέει τα δύο πρώτα. Η διαπραγμάτευση IKE είναι το σημείο όπου μια φιλτραρισμένη διαδρομή παράγει σιωπηλή λήξη χρόνου. Η πιστοποίηση IPsec είναι το σημείο όπου μια ασυμφωνία πιστοποιητικού ή προκοινοποιημένου κλειδιού παράγει αντ' αυτού ρητή απόρριψη. Η ρύθμιση της σήραγγας L2TP είναι το σημείο όπου ένα ήδη εδραιωμένο σύνολο ασφαλείας μπορεί ακόμη να μην οδηγήσει πουθενά, και η είσοδος PPP είναι το σημείο όπου ένα λανθασμένο διαπιστευτήριο παράγει επιτέλους ορατή αποτυχία. Διαβάστε το αρχείο καταγραφής για το στάδιο που σταμάτησε, όχι για την τελευταία γραμμή που εκτυπώθηκε.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Το αρχείο καταγραφής του strongSwan δείχνει αν η ανταλλαγή IKE έφτασε σε πρόταση και αν ο ομότιμος απάντησε καθόλου, κάτι που χωρίζει την προσβασιμότητα από την πολιτική. Το αρχείο καταγραφής του xl2tpd συνεχίζει εκεί όπου τελειώνει το IPsec, οπότε ένα εδραιωμένο σύνολο ασφαλείας χωρίς τίποτα σε εκείνο το αρχείο δείχνει το στάδιο L2TP. Το ερώτημα διαδρομής επιβεβαιώνει ότι ο πελάτης στέλνει προς τη διεύθυνση διακομιστή που νομίζετε, κάτι που πιάνει μια παρωχημένη απάντηση DNS που κληροδοτήθηκε από το προηγούμενο δίκτυο. Μαζί, οι τρεις έξοδοι ονομάζουν ένα στάδιο αντί για ένα σύμπτωμα.

Συγκρίνετε το βάθος NAT και τη συμπεριφορά του βοηθού

Η διέλευση NAT μεταφέρει την προστατευμένη κίνηση σε ενθυλάκωση UDP όταν ανιχνεύεται μετάφραση, οπότε οι αριθμοί θύρας που μεταφέρουν μια λειτουργική συνεδρία μπορεί να διαφέρουν από εκείνους σε ένα στατικό διάγραμμα. Το να επιτρέπεται ένα μόνο πακέτο ρύθμισης δεν αποδεικνύει τίποτα για την υπόλοιπη ανταλλαγή, και μια εξωτερική σάρωση θυρών δεν μπορεί να σας πει πώς ο ομότιμος χειρίζεται την έγκυρη πιστοποιημένη κίνηση. Ένα δεύτερο στρώμα μετάφρασης αλλάζει ξανά την εικόνα, γιατί η αντιστοίχιση υπάρχει τώρα δύο φορές και λήγει με δύο διαφορετικά χρονοδιαγράμματα. Η μετάφραση σε επίπεδο παρόχου σε μια κινητή σύνδεση είναι ο συνηθισμένος λόγος που ένα λειτουργικό προφίλ γραφείου αποτυγχάνει σε hotspot τηλεφώνου.

Οι βοηθοί του δρομολογητή ποικίλλουν όσο και τα δίκτυα. Κάποια firmware υποκλέπτουν και ξαναγράφουν την ανταλλαγή, άλλα απλώς σταματούν να την απορρίπτουν, και άλλα εφαρμόζουν τη ρύθμιση μόνο σε παλαιότερη λειτουργία. Διαβάστε την περιγραφή του ίδιου του firmware για το πλαίσιο ελέγχου, και όπου υπάρχει λειτουργία συμβατότητας, δοκιμάστε την ως μία σκόπιμη αλλαγή αντί για τρεις ταυτόχρονα.

Εξερχόμενος πελάτης, εισερχόμενος διακομιστής: δύο διαφορετικά προβλήματα

Ένας εξερχόμενος πελάτης και ένας εισερχόμενος διακομιστής χρειάζονται διαφορετική προσβασιμότητα ανάντη, και ένα χαρακτηριστικό διέλευσης που βοηθά τον πρώτο δεν κάνει τίποτα για τον δεύτερο. Ένας οικιακός δρομολογητής που αφήνει τον φορητό να φτάσει σε απομακρυσμένη πύλη δεν δέχεται γι' αυτό εισερχόμενες συνδέσεις σε διακομιστή πίσω του. Το να τα συγχέετε σας στέλνει να ψάξετε για προώθηση θυρών που ποτέ δεν ήταν το πρόβλημα. Δηλώστε ποιο ρόλο παίζει η συσκευή που αποτυγχάνει πριν συγκρίνετε οτιδήποτε.

Μετά από μια υποστηριζόμενη αλλαγή, επαναλάβετε την ίδια σύνδεση και καταγράψτε το στάδιο που έφτασε. Κρατήστε μαζί το λειτουργικό προφίλ και τη σημείωση για το δίκτυο που αποτυγχάνει, και μην επαναφέρετε τα διαπιστευτήρια ούτε επανεγκαταστήσετε τον πελάτη, γιατί αυτό πετάει τα στοιχεία πάνω στα οποία χτίστηκε η σύγκριση.