Σκοτώνει ο δεύτερος πελάτης L2TP τον πρώτο; Διαβάστε την ενθυλάκωση

Ένα φορητό κρατά ένα λειτουργικό τούνελ μέσω του δρομολογητή του γραφείου. Ένα δεύτερο φορητό στην ίδια αίθουσα συνδέεται και το πρώτο πέφτει. Αν αυτό είναι όλο το σύμπτωμα, τρία διαφορετικά αίτια είναι ακόμη στο τραπέζι, και το ποια διόρθωση ισχύει εξαρτάται από πράγματα που δεν έχετε μετρήσει ακόμη. Ο κοινός δρομολογητής είναι σχετικός, αλλά δεν είναι αυτόματα ένοχος, ούτε το πρωτόκολλο.

Τρία αίτια που μοιάζουν ίδια από τον καναπέ

Ο πρώτος υποψήφιος είναι ο τρόπος που ο δρομολογητής χειρίζεται το IPsec. Οι φθηνοί οικιακοί δρομολογητές διαφημίζουν συχνά διέλευση και την υλοποιούν για έναν πελάτη τη φορά, επειδή ο μηχανισμός παρακολουθεί έναν ομότιμο και δεν μπορεί να διαχωρίσει δύο φορητά πίσω από την ίδια δημόσια διεύθυνση. Το σύμπτωμα είναι ακριβώς αυτό που θα περιμένατε: κερδίζει η νεότερη συνεδρία.

Το δεύτερο είναι ο λογαριασμός. Πολλοί διακομιστές VPN επιτρέπουν μία συνεδρία ανά ταυτότητα και αποσυνδέουν την παλαιότερη όταν τα ίδια διαπιστευτήρια επικυρωθούν ξανά, κάτι που είναι απόφαση πολιτικής στην πύλη και δεν έχει καμία σχέση με τον δρομολογητή σας. Αναζητήστε αυτό το ρητό μήνυμα στο αρχείο καταγραφής του διακομιστή πριν αγοράσετε υλικό.

Το τρίτο είναι απλή λανθασμένη διαμόρφωση: δύο προφίλ που δείχνουν στην ίδια ταυτότητα, το ένα με παρωχημένο προκοινόχρηστο κλειδί ή πιστοποιητικό που η πύλη δεν δέχεται πλέον. Αυτό συνήθως εμφανίζεται ως αποτυχημένη δεύτερη σύνδεση αντί για πτώση της πρώτης, οπότε το σχήμα της αποτυχίας σας λέει ήδη κάτι.

Τι στέλνει στην πραγματικότητα το L2TP/IPsec μέσω του δρομολογητή

Το IKE τρέχει πάνω από UDP 500. Η διαδρομή δεδομένων είναι το ESP, που είναι πρωτόκολλο IP 50 και δεν μεταφέρει καθόλου θύρες TCP ή UDP. Ένας δρομολογητής που καταλαβαίνει μόνο θύρες δεν έχει πού να πιαστεί, και γι’ αυτό ακριβώς υπάρχει ο μηχανισμός διέλευσης.

Με τη διέλευση NAT, το ESP ενθυλακώνεται μέσα σε UDP 4500. Τώρα ο δρομολογητής έχει θύρα προέλευσης για αντιστοίχιση και κάθε φορητό παίρνει τη δική του μετάφραση, ώστε η πύλη να ξεχωρίζει δύο ροές. Αυτός είναι ο μηχανισμός που κάνει δυνατούς πολλούς πελάτες πίσω από μία διεύθυνση.

Η διάκριση μετράει όταν διαβάζετε τη λίστα χαρακτηριστικών ενός δρομολογητή. Μια ετικέτα που λέει διέλευση IPsec σας λέει ότι ο κατασκευαστής έχει κάποιον μηχανισμό· δεν σας λέει αν αυτός ο μηχανισμός υποστηρίζει πολλούς πελάτες ή πώς συμπεριφέρεται όταν φτάσει ο δεύτερος.

Η τεκμηρίωση του strongSwan για τη διέλευση NAT περιγράφει την ίδια την ενθυλάκωση, και αυτό είναι το μέρος που μπορείτε να επαληθεύσετε από συλλήψεις πακέτων αντί από μια σελίδα μάρκετινγκ.

Πώς να καταλάβετε ποιο αίτιο έχετε πραγματικά

Κάντε τέσσερις παρατηρήσεις και γράψτε κάθε αποτέλεσμα. Κάθε φορητό μόνο του: λειτουργεί, και για πόσο; Και τα δύο μαζί: ποιο επιβιώνει; Το δεύτερο φορητό σε hotspot τηλεφώνου: μένει το πρώτο όρθιο; Και στην πύλη: το αρχείο του διακομιστή δείχνει νέα συνεδρία να αντικαθιστά παλιά, ή δείχνει έναν πελάτη να σωπαίνει απλώς;

Αυτές οι απαντήσεις χωρίζουν καθαρά τους υποψηφίους. Μήνυμα αντικατάστασης στο αρχείο του διακομιστή δείχνει πολιτική ταυτότητας. Πελάτης που σταματά να λαμβάνει κίνηση ενώ ο δρομολογητής δείχνει νέα μετάφραση δείχνει τον δρομολογητή. Δύο πελάτες που αμφότεροι αποτυγχάνουν να ολοκληρώσουν το IKE δείχνουν διαμόρφωση ή διαπιστευτήρια.

Κρατήστε τα ίδια προφίλ σε όλη τη διαδικασία. Η αλλαγή προφίλ ανάμεσα στις δοκιμές σημαίνει ότι μετράτε δύο μεταβλητές ταυτόχρονα, και το συμπέρασμα θα είναι λάθος με τρόπο πολύ δύσκολο να τον προσέξετε.

Καταγράψτε στον δρομολογητή αν το υποστηρίζει, ή σε ένα φορητό ενώ το άλλο συνδέεται. Το να βλέπετε τα πακέτα του δεύτερου πελάτη να εμφανίζονται ενώ του πρώτου σταματούν είναι ισχυρότερη απόδειξη από οποιοδήποτε εικονίδιο σύνδεσης.

Αν ο δρομολογητής είναι ο περιορισμός

Χρησιμοποιήστε τη τεκμηριωμένη διαμόρφωση πολλών πελατών του κατασκευαστή αν υπάρχει, ή αντικαταστήστε τη συσκευή με μία της οποίας η τεκμηρίωση λέει αυτό που χρειάζεστε. Αυτή είναι μια άχαρη απάντηση και η μόνη που επιβιώνει από ενημέρωση υλικολογισμικού.

Αυτό που δεν λειτουργεί είναι να προσθέσετε δύο ίδιες προωθήσεις εισερχομένων προς δύο διαφορετικά φορητά. Μια προώθηση λέει στον δρομολογητή πού να στείλει την εισερχόμενη κίνηση· δεν του λέει σε ποια από δύο ενεργές ροές ανήκει ένα πακέτο, και η ασάφεια είναι το σφάλμα.

Αν ο δρομολογητής δεν μπορεί να αντικατασταθεί, βάλτε έναν πελάτη πίσω από διαφορετική διαδρομή. Το hotspot τηλεφώνου είναι κακή μόνιμη λύση και απολύτως καλή διαγνωστική.

Αν η πύλη είναι ο περιορισμός

Παρέχετε ξεχωριστές ταυτότητες για ξεχωριστούς ανθρώπους. Ένας κοινός λογαριασμός που χρησιμοποιούν δύο φορητά είναι η ρύθμιση που παράγει αυτό το σύμπτωμα σε διακομιστές διαμορφωμένους για μία συνεδρία, και καμία τοπική διαμόρφωση δεν διορθώνει μια απόφαση που λαμβάνεται στο άλλο άκρο.

Ρωτήστε τον ιδιοκτήτη της πύλης ποια πολιτική ισχύει: μία συνεδρία ανά λογαριασμό, μία ανά πιστοποιητικό, ή κανένα όριο. Η απάντησή τους καθορίζει αν χρειάζεστε νέα διαπιστευτήρια ή νέο δρομολογητή.

Η επαλήθευση είναι το μέρος που οι άνθρωποι παραλείπουν. Τρέξτε χρήσιμη κίνηση από τους δύο πελάτες για περισσότερο από το διάστημα που αποτύγχανε παλιά, γιατί δύο επιτυχημένες συνδέσεις αποδεικνύουν μόνο ότι η ταυτοποίηση λειτούργησε μία φορά την καθεμία.