Γιατί συνδέεται μόνο ένας πελάτης VPN πίσω από τον ίδιο δρομολογητή

Δύο φορητοί βρίσκονται στο ίδιο οικιακό δίκτυο, και το VPN του γραφείου δέχεται ακριβώς έναν από αυτούς. Ο δεύτερος είτε λήγει σε υπέρβαση χρόνου είτε περιμένει ώσπου να αποσυνδεθεί ο πρώτος, και κανείς δεν άγγιξε ρύθμιση πελάτη ανάμεσα στις δύο προσπάθειες. Τα διαπιστευτήρια είναι τα ίδια που δούλευαν πριν από ένα λεπτό, και αυτό είναι το στοιχείο ότι η πιστοποίηση δεν είναι η αποτυχία. Τρεις μηχανισμοί παράγουν αυτό το μοτίβο, και το ίδιο το αρχείο του διακομιστή λέει ποιον αντιμετωπίζετε.

Διαβάστε το αρχείο της πύλης πριν αγγίξετε πελάτη

Η καταγραφή του διακομιστή για τις δύο προσπάθειες απαντά στο πρώτο ερώτημα, και απαντά με έναν από τρεις τρόπους. Αν η δεύτερη προσπάθεια δεν εμφανιστεί ποτέ σε εκείνο το αρχείο, το πακέτο δεν έφτασε ποτέ στον ακροατή, και το πρόβλημα το έχει ο οικιακός δρομολογητής ή η διαδρομή του παρόχου. Αν το αρχείο καταγράφει προσπάθεια και την απορρίπτει, η σήραγγα έφτασε, άρα το ζήτημα είναι ταυτότητα, άδεια ή όριο συνεδριών και όχι κάτι πάνω στο καλώδιο. Αν το αρχείο καταγράφει επιτυχημένη συνεδρία ενώ ο πελάτης αναφέρει ακόμη αποτυχία, κοιτάξτε τη διαδρομή επιστροφής ή το ενδεχόμενο δύο πελάτες να παίρνουν την ίδια διεύθυνση σήραγγας.

Ένα σημείο πρόσβασης από κινητό χωρίζει φτηνά αυτές τις οικογένειες: τρέξτε τον δεύτερο πελάτη μέσω δεδομένων κινητής ενώ ο πρώτος μένει συνδεδεμένος. Επιτυχία εκεί δείχνει το οικιακό δίκτυο, και η ίδια αποτυχία εκεί δείχνει την πύλη, αφήνοντας τον δρομολογητή αθώο. Κανένα αποτέλεσμα δεν είναι μόνο του οριστικό, αλλά το καθένα εξαλείφει το μισό του χώρου αναζήτησης με μία προσπάθεια.

Γράψτε το αποτέλεσμα πριν αλλάξετε οτιδήποτε, γιατί τα τρία αποτελέσματα του αρχείου οδηγούν σε τρεις άσχετες επισκευές. Μια σημείωση που ονομάζει ποιο από τα τρία είδατε αξίζει περισσότερο από ένα στιγμιότυπο οθόνης με σφάλμα πελάτη.

Τι κάνει ο δρομολογητής με GRE και NAT-T

Το PPTP είναι ο κλασικός ένοχος: το κανάλι ελέγχου είναι TCP 1723 ενώ η διαδρομή δεδομένων είναι GRE, πρωτόκολλο IP 47. Πολλοί οικιακοί δρομολογητές έρχονται με βοηθό PPTP που παρακολουθεί μία μόνο σύνδεση ελέγχου, έτσι ένας δεύτερος πελάτης πίσω από το ίδιο NAT ανοίγει το κανάλι ελέγχου του και μετά δεν παίρνει καθόλου διαδρομή δεδομένων. Η προώθηση θύρας TCP με αριθμό 47 δεν κάνει τίποτε για το GRE, γιατί το GRE είναι αριθμός πρωτοκόλλου και όχι θύρα.

L2TP πάνω από IPsec συμπεριφέρεται διαφορετικά εξ αρχής: το IKE χρησιμοποιεί UDP 500, η διέλευση NAT μεταφέρει το προστατευμένο φορτίο στο UDP 4500, και η ενθυλάκωση υπάρχει ακριβώς για να μπορούν πολλοί πελάτες πίσω από μία διεύθυνση να φτάσουν στην ίδια πύλη. Αυτή η σχεδίαση δεν εμποδίζει μια πύλη ή ένα ενδιάμεσο κουτί να επιβάλει όριο συνεδριών ανά διεύθυνση, και από τον καναπέ οι δύο αποτυχίες μοιάζουν ίδιες. Το εγγενές πρωτόκολλο του SoftEther έχει την ίδια κατηγορία προβλήματος: δρομολογητής χωρίς λειτουργική διέλευση δέχεται τον πρώτο πελάτη από το τοπικό δίκτυο και απορρίπτει τον δεύτερο. Δοκιμάστε τον διακόπτη ALG ή διέλευσης του δρομολογητή και στις δύο θέσεις, γιατί ένας βοηθός γραμμένος για παλαιότερο πελάτη μπορεί να χαλάσει πακέτα που στέλνει ένας τρέχων.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Όρια ταυτότητας που μοιάζουν με όρια μεταφοράς

Ο δρομολογητής δεν είναι ο μόνος ύποπτος, και το αρχείο τον ξεχωρίζει από την εναλλακτική. Όταν ένας διακομιστής OpenVPN καρφώνει ένα κοινό όνομα σε μία διεύθυνση σήραγγας, και οι δύο συσκευές παίρνουν αυτή τη διεύθυνση, και χωρίς το duplicate-cn η νεότερη συνεδρία σπρώχνει έξω την παλαιότερη. Η ενεργοποίηση αυτής της επιλογής αφήνει και τις δύο συνδεδεμένες αλλά τους δίνει μία ταυτότητα, ένα πιστοποιητικό και μία απόφαση ανάκλησης, κάτι χειρότερο απ' ό,τι φαίνεται. Η δεύτερη συσκευή τότε δεν μπορεί ποτέ να ανακληθεί μόνη της, οπότε ένας διακόπτης ευκολίας αφαιρεί ήσυχα έναν έλεγχο που μπορεί να χρειαστείτε αργότερα.

Διαβάστε το ημερολόγιο του διακομιστή και το αρχείο κατάστασης μαζί, γιατί το ένα δείχνει την απόφαση πιστοποίησης και το άλλο ποιος είναι συνδεδεμένος τώρα. Δύο εγγραφές με το ίδιο κοινό όνομα και μία εικονική διεύθυνση επιβεβαιώνουν σύγκρουση ταυτότητας και όχι όριο του δρομολογητή. Οι εμπορικές πύλες προσθέτουν δικά τους όρια, όπως ένα πρόγραμμα που επιτρέπει μία ταυτόχρονη συνεδρία, ένα πλήθος αδειών ή έναν κανόνα που επιτρέπει μία συνεδρία ανά δημόσια διεύθυνση, και καμία ρύθμιση δρομολογητή δεν αλλάζει τίποτε από αυτά.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Ταιριάξτε την επισκευή με την εγγραφή του αρχείου

Μια απόρριψη στο αρχείο απαιτεί ξεχωριστά διαπιστευτήρια ανά συσκευή, υψηλότερο όριο από όποιον τρέχει την υπηρεσία ή δεύτερο σημείο τερματισμού πύλης για ένα μηχάνημα. Αν καμία δεύτερη προσπάθεια δεν φτάνει ποτέ στον διακομιστή, η μόνιμη επισκευή είναι δρομολογητής που προωθεί το πρωτόκολλο και κρατά περισσότερες από μία συνεδρίες, ή μεταφορά που ο δρομολογητής χειρίζεται καλά, όπως μία ροή TCP ή UDP. Η επιλογή ανάμεσά τους είναι απόφαση για τη διάρκεια ζωής του υλικού, όχι για τις ρυθμίσεις του πελάτη.

Μην αντιγράψετε το προφίλ μιας συσκευής που δουλεύει στο δεύτερο μηχάνημα και μη θεωρήσετε το θέμα λήξαν. Αυτό μετατρέπει πρόβλημα σύνδεσης σε πρόβλημα ελέγχου πρόσβασης, γιατί ένας χαμένος φορητός δεν ξεχωρίζει πια από το αντίγραφο που χρησιμοποιείται ακόμη. Κρύβει επίσης τη αρχική βλάβη, η οποία επιστρέφει τη στιγμή που εμφανίζεται τρίτη συσκευή.

Επαλήθευση δύο ενεργών συνεδριών

Συνδέστε και τις δύο συσκευές ταυτόχρονα, τρέξτε την προβλεπόμενη εφαρμογή σε καθεμία, μετά επανασυνδέστε μία από αυτές και επαναλάβετε. Ένα δεύτερο εικονίδιο που εμφανίζεται για λίγο δεν αποδεικνύει τίποτε για την κίνηση, και μια συνεδρία που πέφτει μετά από δέκα λεπτά είναι άλλο σφάλμα με άλλον υπεύθυνο. Συγκρίνετε τι αναφέρει ο διακομιστής στο τέλος με το τι είδαν οι χρήστες, γιατί αυτές οι δύο αναφορές συχνά διαφωνούν.

Αν επιζήσουν και οι δύο συνεδρίες και μεταφέρουν κίνηση, η διόρθωση στέκει και η σημείωση που γράψατε στην αρχή γίνεται το αρχείο του τι πήγαινε στραβά. Αν επιζήσει μόνο μία, γυρίστε στο πρώτο βήμα και ελέγξτε ποιο από τα τρία αποτελέσματα του αρχείου έχετε τώρα, γιατί η απάντηση μπορεί να άλλαξε. Οι βοηθοί του δρομολογητή μπορούν να κρύψουν πρόβλημα που ξαναεμφανίζεται σε άλλο δίκτυο, ενώ ένα όριο ανά διεύθυνση ακολουθεί τον χρήστη και όχι τη συσκευή. Η δοκιμή από δεύτερο δίκτυο είναι ο φτηνότερος τρόπος να βρείτε ποιο από αυτά διορθώσατε πραγματικά.