L2TP/IPsec konektiĝas en unu reto kaj trapasas tempolimon en alia

La sama tekokomputilo, la sama profilo kaj la sama pasvorto funkcias en unu konstruaĵo kaj malsukcesas en alia. Tiu komparo estas la plej utila pruvo en la bileto, kaj ĝi kutime estas la unua afero forĵetata. Inter du alirretoj la interŝanĝo trapasas alian adres-tradukon, aliajn filtrilojn kaj aliajn encestilojn. Teni la klienton senŝanĝa kaj ŝanĝi nur la reton estas la maniero eltrovi, kiu el tiuj gravas.

Fiksu la klienton antaŭ ol kompari retojn

Ne ŝanĝu ion ajn sur la aparato ĝis vi havos rikordon de la funkcianta kazo: klienta versio, profila enhavo, servila nomo kaj la tempo de la sukcesa konekto. Poste reproduktu la fiaskon en la dua reto dum la sama seanco, por ke la klienta stato estu kiel eble plej identa. Profilo redaktita inter la du provoj nuligas la tutan komparon. La celo estas unu variablo, kaj tiu variablo estas la reto.

Unue konfirmu ordinaran interretan aliron en la malsukcesa reto, inkluzive gastan portalon se ĝi ekzistas. Portalo, kiun oni neniam plenumis, produktas tempolimon, kiu aspektas ĝuste kiel filtrita tunelo, kaj tiu kontrolo daŭras unu minuton.

Kvar fazoj, kvar malsamaj erarmesaĝoj

L2TP/IPsec-konekto trapasas kvar fazojn, kaj RFC 3193 priskribas la aranĝon, kiu ligas la unuajn du. La IKE-prilaborado estas kie filtrita vojo produktas silentan tempolimon. La IPsec-aŭtentikigo estas kie malkongruo de atestilo aŭ antaŭdividita ŝlosilo anstataŭe produktas eksplicitan malakcepton. La starigo de la L2TP-tunelo estas kie jam establita sekureca asocio tamen povas konduki nenie, kaj la PPP-ensaluto estas kie malĝusta akreditaĵo fine produktas videblan fiaskon. Legu la protokolon por la fazo, kiu haltis, ne por la lasta linio presita.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

La protokolo de strongSwan montras, ĉu la IKE-interŝanĝo atingis proponon kaj ĉu la partnero entute respondis, kio apartigas atingeblon de politiko. La protokolo de xl2tpd daŭrigas tie, kie IPsec finiĝas, do establita sekureca asocio sen io en tiu protokolo indikas la L2TP-fazon. La voja demando konfirmas, ke la kliento sendas al la servila adreso, kiun vi supozas, kio kaptas malnoviĝintan DNS-respondon hereditan de la antaŭa reto. Kune, la tri eligoj nomas fazon anstataŭ simptomon.

Komparu la NAT-profundon kaj la konduton de la helpanto

La NAT-trapaso movas protektitan trafikon al UDP-enkapsuligo kiam traduko estas detektita, do la pordaj numeroj portantaj funkciantan seancon povas malsami de tiuj en statika diagramo. Permesi unu agordan paketon pruvas nenion pri la resto de la interŝanĝo, kaj ekstera porda skanado ne povas diri al vi, kiel la partnero traktas validan aŭtentikigitan trafikon. Dua traduka tavolo denove ŝanĝas la bildon, ĉar la mapado nun ekzistas dufoje kaj eksvalidiĝas laŭ du malsamaj horaroj. Traduko je la nivelo de la operatoro en poŝa konekto estas la kutima kaŭzo, kial funkcianta oficeja profilo malsukcesas en poŝtelefona hotspot.

La helpantoj de la enkursigilo varias tiom kiom la retoj. Iuj firmvaroj interkaptas kaj reskribas la interŝanĝon, iuj nur ĉesas ĵeti ĝin, kaj iuj aplikas la agordon nur en malnova reĝimo. Legu la propran priskribon de la firmvaro pri la markobutono, kaj kie ekzistas kongrueca reĝimo, testu ĝin kiel unu intencan ŝanĝon anstataŭ tri samtempe.

Elira kliento, enira servilo: du malsamaj problemoj

Elira kliento kaj enira servilo bezonas malsaman suprenan atingeblon, kaj trapasa funkcio, kiu helpas la unuan, faras nenion por la dua. Hejma enkursigilo, kiu lasas la tekokomputilon atingi malproksiman pordegon, tial ne akceptas enirajn konektojn al servilo malantaŭ ĝi. Konfuzi la du sendas vin serĉi pordan plusendadon, kiu neniam estis la problemo. Deklaru, kiun rolon la malsukcesa aparato ludas, antaŭ ol kompari ion ajn.

Post subtenata ŝanĝo, ripetu la saman konekton kaj notu la atingitan fazon. Tenu kune la funkciantan profilon kaj la noton pri la malsukcesa reto, kaj ne restarigu la akreditaĵojn nek reinstalu la klienton, ĉar tio forĵetas la pruvon, sur kiu la komparo estis konstruita.