Ο δεύτερος πελάτης VPN χάλασε τον πρώτο: βρείτε τον κοινό πόρο

Χθες ο αρχικός πελάτης λειτουργούσε. Σήμερα ο νεοφερμένος διεκδικεί μια σύνδεση, ενώ το παλαιότερο προφίλ σταματά σε ένα στάδιο που παλιά περνούσε χωρίς παράπονο. Τα διαπιστευτήρια σπάνια εμπλέκονται, και η πύλη συνήθως είναι αθώα. Αυτό που άλλαξε είναι ότι δύο στοίβες VPN θέλουν τώρα τον ίδιο αποκλειστικό πόρο, και η επισκευή εξαρτάται από το να τον ονομάσετε. Περπατήστε τα επίπεδα αντί να επανεγκαταστήσετε και τους δύο.

Περπατήστε τα τέσσερα επίπεδα με τη σειρά

Ένα προϊόν VPN χρειάζεται τέσσερις πόρους που μπορούν να συγκρουστούν: μια υπηρεσία υποβάθρου που συχνά αρνείται να εκτελεστεί δύο φορές, μια σταθερή θύρα, έναν εικονικό προσαρμογέα ή φίλτρο πυρήνα που βλέπει την κίνηση πριν από τον πίνακα δρομολόγησης, και το δικαίωμα να εγκαθιστά διαδρομές μπροστά από την προεπιλεγμένη. Το να ξέρετε ποιος υποχώρησε μετατρέπει μια ασαφή σύγκρουση σε ένα μόνο ερώτημα με ελέγξιμη απάντηση.

Χαρτογραφήστε το σύμπτωμα σε ένα επίπεδο πριν αγγίξετε οτιδήποτε. Ένας πελάτης που δεν ξεκινά δείχνει την υπηρεσία· ένας που ξεκινά και ποτέ δεν διαπραγματεύεται δείχνει τη θύρα· ένας που συνδέεται ενώ ο άλλος χάνει όλη τη συνδεσιμότητα δείχνει το φίλτρο ή την προεπιλεγμένη διαδρομή. Γράψτε αυτή τη χαρτογράφηση, γιατί γλιτώνει μια ώρα επανεγκατάστασης εφαρμογών με ελπίδα.

Ξεκινήστε από την υπηρεσία που δεν εκτελείται δύο φορές

Στα Windows ένας εταιρικός πελάτης είναι συνήθως κάτι περισσότερο από σήραγγα, γιατί εγκαθιστά μια υπηρεσία, έναν οδηγό φίλτρου και μερικές φορές έναν πάροχο διαπιστευτηρίων μαζί με το προφίλ. Καταγράψτε ποιες υπηρεσίες εκτελούνται πριν από την αλλαγή και ξανά μετά, και μετά συγκρίνετε τις δύο λίστες αντί να κάνετε επανεκκίνηση μέχρι να λειτουργήσει κάτι. Οι υπηρεσίες μπορούν επίσης να αποκλείουν η μία την άλλη μέσω εξαρτήσεων, όπου η εκκίνηση της μίας σταματά την άλλη, και το ίδιο μοτίβο εμφανίζεται στο macOS με εργασίες launchd και έναν κοινόχρηστο δαίμονα. Ένας πελάτης που ξεκινά και τερματίζει μέσα σε δευτερόλεπτα αναφέρει ιδιοκτησία και όχι διαμόρφωση.

Διαβάστε την κατάσταση της υπηρεσίας και το αρχείο καταγραφής της πριν διαβάσετε το προφίλ. Μια υπηρεσία που ξεκίνησε και σταμάτησε μέσα στο ίδιο λεπτό είναι το μοτίβο που ψάχνετε, και το δικό της αρχείο συμβάντων ονομάζει την εξάρτηση που την εκτόπισε. Ένα προφίλ δεν μπορεί να επισκευάσει μια διεργασία που δεν εκτελείται, και ο χρόνος που ξοδεύεται για την επεξεργασία του είναι χρόνος που δεν ξοδεύεται στην πραγματική σύγκρουση.

Έπειτα ρωτήστε ποιος κατέχει τη θύρα

Η ιδιοκτησία της θύρας είναι η πιο σαφής απόδειξη που θα πάρετε, γιατί μια αποτυχία δέσμευσης ονομάζει τη σύγκρουση ευθέως. Δύο υλοποιήσεις IKE δεν μπορούν να απαντούν και οι δύο στην ίδια τοπική διεύθυνση και θύρα UDP, και καμία ποσότητα επαναλήψεων δεν το αλλάζει.

Get-NetUDPEndpoint -LocalPort 500,4500 | Select-Object LocalAddress,LocalPort,OwningProcess
netstat -ano | findstr :500
sudo lsof -nP -iUDP:500
ss -lunp | grep -E ':500|:4500'

Όποια γραμμή ταιριάζει με την πλατφόρμα σας, η απάντηση που θέλετε είναι μια διεργασία και η υπηρεσία που τη γέννησε. Αν ο ακροατής είναι η ενσωματωμένη υπηρεσία IKE, ο δεύτερος πελάτης είναι ο εισβολέας· αν είναι πράκτορας προμηθευτή, ο ενσωματωμένος πελάτης είναι. Αποφασίστε ποιος επιτρέπεται να ξεκινά κατά τη σύνδεση και απενεργοποιήστε την αυτόματη εκκίνηση του άλλου αντί να τον σκοτώνετε κάθε συνεδρία.

Ο οδηγός φίλτρου βρίσκεται κάτω από τις διαδρομές σας

Ένας οδηγός φίλτρου δικτύου υποκλέπτει την κίνηση μεταξύ του προσαρμογέα και της στοίβας πρωτοκόλλων, ώστε να μπορεί να ξαναγράψει ή να αποκλείσει πακέτα ανεξάρτητα από το τι λέει ο πίνακας δρομολόγησης. Έτσι μια διαδρομή που φαίνεται σωστή αγνοείται, και γι' αυτό ένα επιτυχές ping μπορεί να στέκει δίπλα σε ένα πρόγραμμα περιήγησης που δεν φορτώνει τίποτα.

Τα στοιχεία προμηθευτή δεσμεύονται επίσης σε συγκεκριμένες συνδέσεις. Ένα παλιό φίλτρο δεσμευμένο σε έναν προσαρμογέα μπορεί να εμποδίσει ένα κατά τα άλλα σωστό προφίλ να ολοκληρώσει τη χειραψία του, και η αποδέσμευση αυτού του στοιχείου από τις ιδιότητες του προσαρμογέα είναι στενότερη και πιο αναστρέψιμη από την πλήρη αφαίρεση του προϊόντος. Επειδή η δέσμευση είναι ανά σύνδεση, συγκρίνετε τους προσαρμογείς αντί για ολόκληρη τη στοίβα.

Αποφασίστε ποιο προϊόν κατέχει την εκκίνηση και μετά καταγράψτε το

Η συνύπαρξη είναι ρεαλιστική μόνο όταν οι δύο πελάτες καταλαμβάνουν διαφορετικά επίπεδα εκ σχεδιασμού, όπως μια στοίβα IPsec δίπλα σε έναν διακομιστή μεσολάβησης που χειρίζεται μόνο την κίνηση εφαρμογών. Όπου και οι δύο θέλουν την ίδια θύρα, το ίδιο επίπεδο φίλτρου ή το δικαίωμα να δημοσιεύουν μια προεπιλεγμένη διαδρομή, θα συνεχίσουν να εναλλάσσονται και κάθε αποτυχία θα μοιάζει με νέα βλάβη.

Επιλέξτε τον ιδιοκτήτη σκόπιμα. Μορφές που επιβιώνουν από επανεκκίνηση περιλαμβάνουν την εκτέλεση του δεύτερου πελάτη μέσα σε εικονική μηχανή, τη διατήρησή του σε αποκλειστικό υλικό ή την τυποποίηση σε έναν πελάτη που μιλά και τα δύο πρωτόκολλα. Η απενεργοποίηση της αυτόματης εκκίνησης και της υπηρεσίας του χαμένου είναι μικρότερη αλλαγή από την ανοικοδόμηση του πίνακα δρομολόγησης μετά από κάθε εκκίνηση, και αντιστρέφεται με μία μόνο αλλαγή ρυθμίσεων.