¿El segundo cliente L2TP mata al primero? Lea la encapsulación

Un portátil mantiene un túnel funcional a través del router de la oficina. Un segundo portátil en la misma sala se conecta y el primero se cae. Si ese es todo el síntoma, todavía hay tres causas distintas sobre la mesa, y cuál corrección se aplica depende de cosas que aún no ha medido. El router compartido es relevante, pero no es culpable automáticamente, y el protocolo tampoco.

Tres causas que desde el sofá parecen idénticas

El primer candidato es el manejo del router con IPsec. Los routers de consumo baratos suelen anunciar paso directo y lo implementan para un solo cliente a la vez, porque el mecanismo sigue a un único par y no puede separar dos portátiles detrás de la misma dirección pública. El síntoma es exactamente el que esperaría: gana la sesión más nueva.

La segunda es la cuenta. Muchos servidores VPN permiten una sesión por identidad y desconectan la más antigua cuando las mismas credenciales se autentican de nuevo, lo cual es una decisión de política en la pasarela y no tiene nada que ver con su router. Busque ese mensaje explícito en el registro del servidor antes de comprar hardware.

La tercera es una simple mala configuración: dos perfiles que apuntan a la misma identidad, uno de ellos con una clave precompartida obsoleta o un certificado que la pasarela ya no acepta. Normalmente se manifiesta como una segunda conexión fallida en lugar de una primera caída, así que la forma del fallo ya le dice algo.

Qué envía realmente L2TP/IPsec a través del router

IKE funciona sobre UDP 500. La ruta de datos es ESP, que es el protocolo IP 50 y no lleva ningún puerto TCP ni UDP. Por eso un router que solo entiende puertos no tiene en qué fijarse, y es exactamente por eso que existe el mecanismo de paso directo.

Con la travesía NAT, ESP se encapsula dentro de UDP 4500. Ahora el router tiene un puerto de origen que asignar, y cada portátil obtiene su propia traducción, de modo que la pasarela puede distinguir dos flujos. Ese es el mecanismo que hace posible que varios clientes detrás de una dirección funcionen.

La distinción importa cuando lee la lista de funciones de un router. Una etiqueta que dice paso directo IPsec le dice que el fabricante tiene algún mecanismo; no le dice si ese mecanismo admite varios clientes ni cómo se comporta cuando llega el segundo.

La documentación de strongSwan sobre la travesía NAT describe la encapsulación misma, que es la parte que puede verificar con capturas de paquetes en lugar de una página de marketing.

Cómo saber qué causa tiene realmente

Haga cuatro observaciones y anote cada resultado. Cada portátil solo: ¿funciona, y durante cuánto tiempo? Ambos a la vez: ¿cuál sobrevive? El segundo portátil en un punto de acceso del teléfono: ¿el primero se mantiene? Y en la pasarela: ¿el registro del servidor muestra una sesión nueva que sustituye a una antigua, o muestra un cliente que simplemente se calla?

Esas respuestas separan a los candidatos con claridad. Un mensaje de sustitución en el registro del servidor apunta a la política de identidad. Un cliente que deja de recibir tráfico mientras el router muestra una traducción nueva apunta al router. Dos clientes que ambos no completan IKE apuntan a la configuración o a las credenciales.

Mantenga los mismos perfiles en todo momento. Cambiar el perfil entre pruebas significa que mide dos variables a la vez, y la conclusión será errónea de una manera muy difícil de notar.

Capture en el router si lo admite, o en un portátil mientras el otro se conecta. Ver aparecer los paquetes del segundo cliente mientras se detienen los del primero es una evidencia más sólida que cualquier icono de conectado.

Si el router es la limitación

Utilice la configuración multicliente documentada del fabricante si existe, o sustituya el dispositivo por uno cuya documentación diga lo que necesita. Esa es una respuesta poco glamurosa y es la única que sobrevive a una actualización de firmware.

Lo que no funciona es añadir dos reenvíos de entrada idénticos hacia dos portátiles distintos. Un reenvío le dice al router adónde enviar el tráfico entrante; no le dice a cuál de dos flujos activos pertenece un paquete, y la ambigüedad es el error.

Si el router no se puede sustituir, ponga un cliente detrás de una ruta distinta. Un punto de acceso del teléfono es una mala solución permanente y una solución de diagnóstico perfectamente buena.

Si la pasarela es la limitación

Proporcione identidades separadas para personas separadas. Una cuenta compartida usada por dos portátiles es la disposición que produce este síntoma en servidores configurados para una sola sesión, y ninguna configuración local arregla una decisión tomada en el otro extremo.

Pregunte al propietario de la pasarela qué política se aplica: una sesión por cuenta, una por certificado, o ningún límite. Su respuesta decide si necesita credenciales nuevas o un router nuevo.

La verificación es la parte que la gente se salta. Pase tráfico útil desde ambos clientes durante más tiempo que el intervalo que antes fallaba, porque dos inicios de sesión correctos solo prueban que la autenticación funcionó una vez en cada caso.