Ĉu la dua L2TP-kliento mortigas la unuan? Legu la enkapsuligon

Unu tekkomputilo tenas funkciantan tunelon tra la oficeja enkursigilo. Dua tekkomputilo en la sama ĉambro konektiĝas, kaj la unua falas. Se tio estas la tuta simptomo, tri malsamaj kaŭzoj ankoraŭ staras sur la tablo, kaj kiu riparo aplikiĝas dependas de aferoj, kiujn vi ankoraŭ ne mezuris. La komuna enkursigilo gravas, sed ĝi ne estas aŭtomate kulpa, kaj nek la protokolo.

Tri kaŭzoj, kiuj de la sofo aspektas identaj

La unua kandidato estas la traktado de IPsec fare de la enkursigilo. Malmultekostaj konsumantaj enkursigiloj ofte reklamas trapasadon kaj realigas ĝin por unu kliento samtempe, ĉar la mekanismo spuras unu kunulon kaj ne povas apartigi du tekkomputilojn malantaŭ la sama publika adreso. La simptomo estas ĝuste tio, kion vi atendus: la pli nova seanco venkas.

La dua estas la konto. Multaj VPN-serviloj permesas unu seanson por identeco kaj malkonektas la pli malnovan, kiam la samaj akreditaĵoj denove aŭtentiĝas, kio estas politika decido ĉe la enirejo kaj neniel rilatas al via enkursigilo. Serĉu tiun eksplicitan mesaĝon en la servila protokolo antaŭ ol aĉeti aparataron.

La tria estas simpla malĝusta agordo: du profiloj montrantaj al la sama identeco, unu el ili kun eksdata antaŭe dividita ŝlosilo aŭ atestilo, kiun la enirejo ne plu akceptas. Tiu kutime montriĝas kiel malsukcesa dua konekto anstataŭ falinta unua, do la formo de la malsukceso jam diras al vi ion.

Kion L2TP/IPsec efektive sendas tra la enkursigilo

IKE funkcias super UDP 500. La datenvojo estas ESP, kiu estas IP-protokolo 50 kaj tute ne portas TCP aŭ UDP havenojn. Enkursigilo, kiu komprenas nur havenojn, do havas nenion por ekkapti, kaj ĝuste tial ekzistas la trapasa mekanismo.

Kun NAT-trapaso, ESP estas enkapsuligita ene de UDP 4500. Nun la enkursigilo havas fontan havenon por mapi, kaj ĉiu tekkomputilo ricevas sian propran tradukon, do la enirejo povas distingi du fluojn. Tiu estas la mekanismo, kiu ebligas entute pluron da klientoj malantaŭ unu adreso.

La distingo gravas, kiam vi legas la funkcioliston de enkursigilo. Etikedo diranta IPsec-trapaso diras al vi, ke la vendisto havas ian mekanismon; ĝi ne diras, ĉu tiu mekanismo subtenas plurajn klientojn aŭ kiel ĝi kondutas, kiam alvenas la dua.

La dokumentaro de strongSwan pri NAT-trapaso priskribas la enkapsuligon mem, kaj tio estas la parto, kiun vi povas kontroli el pakaĵkaptaĵoj anstataŭ el merkatika paĝo.

Kiel scii, kiun kaŭzon vi efektive havas

Faru kvar observojn kaj notu ĉiun rezulton. Ĉiu tekkomputilo sola: ĉu ĝi funkcias, kaj kiom longe? Ambaŭ samtempe: kiu postvivas? La dua tekkomputilo sur telefona konektopunkto: ĉu la unua restas supre? Kaj ĉe la enirejo: ĉu la servila protokolo montras novan seanson anstataŭantan malnovan, aŭ montras unu klienton simple silentiĝi?

Tiuj respondoj klare apartigas la kandidatojn. Anstataŭiga mesaĝo en la servila protokolo indikas identecpolitikon. Kliento, kiu ĉesas ricevi trafikon dum la enkursigilo montras novan tradukon, indikas la enkursigilon. Du klientoj, kiuj ambaŭ malsukcesas fini IKE, indikas agordon aŭ akreditaĵojn.

Konservu la samajn profilojn tra la tuta procezo. Ŝanĝi la profilon inter testoj signifas, ke vi mezuras du variablojn samtempe, kaj la konkludo estos malĝusta tiel, ke estas tre malfacile rimarki.

Kaptu ĉe la enkursigilo, se ĝi subtenas tion, aŭ ĉe unu tekkomputilo dum la alia konektiĝas. Vidi la pakaĵojn de la dua kliento aperi, dum tiuj de la unua haltas, estas pli forta pruvo ol iu ajn konektita ikono.

Se la enkursigilo estas la limo

Uzu la dokumentitan plurklientan agordon de la vendisto, se ĝi ekzistas, aŭ anstataŭigu la aparaton per tiu, kies dokumentaro diras, kion vi bezonas. Tio estas senbrila respondo kaj la sola, kiu postvivas firmvaran ĝisdatigon.

Kio ne funkcias, estas aldoni du identajn envenantajn plusendojn al du malsamaj tekkomputiloj. Plusendo diras al la enkursigilo, kien sendi alvenantan trafikon; ĝi ne diras, al kiu el du aktivaj fluoj apartenas pakaĵo, kaj la ambiguo estas la cimo.

Se la enkursigilo ne povas esti anstataŭigita, metu unu klienton malantaŭ alian vojon. Telefona konektopunkto estas malbona daŭra solvo kaj tute bona diagnoza.

Se la enirejo estas la limo

Provizu apartajn identecojn por apartaj homoj. Unu komuna konto uzata de du tekkomputiloj estas la aranĝo, kiu produktas ĉi tiun simptomon sur serviloj agorditaj por unu seanco, kaj neniu loka agordo riparas decidon faritan ĉe la malproksima fino.

Demandu la posedanton de la enirejo, kiu politiko validas: unu seanco por konto, unu por atestilo, aŭ neniu limo. Ilia respondo decidas, ĉu vi bezonas novajn akreditaĵojn aŭ novan enkursigilon.

Kontrolado estas la parto, kiun homoj preterlasas. Sendu utilan trafikon de ambaŭ klientoj pli longe ol la intervalo, kiu antaŭe fiaskis, ĉar du sukcesaj ensalutoj pruvas nur, ke aŭtentigo funkciis unufoje ĉe ĉiu.