L2TP/IPsec ühendub ühes võrgus ja aegub teises

Sama sülearvuti, sama profiil ja sama parool töötavad ühes hoones ning ebaõnnestuvad teises. See võrdlus on pileti kõige kasulikum tõend ja tavaliselt esimene asi, mis kõrvale jäetakse. Kahe juurdepääsuvõrgu vahel läbib vahetus teistsuguse aadressitõlke, teistsugused filtrid ja teistsugused ruuteri abilised. Kliendi muutumatuna hoidmine ja ainult võrgu vahetamine on viis teada saada, milline neist loeb.

Fikseerige klient enne võrkude võrdlemist

Ärge muutke seadmes midagi enne, kui teil on töötava juhtumi kirje: kliendi versioon, profiili sisu, serveri nimi ja õnnestunud ühenduse aeg. Seejärel korjake tõrge teises võrgus sama sessiooni ajal, et kliendi olek oleks võimalikult identne. Kahe katse vahel muudetud profiil muudab kogu võrdluse kehtetuks. Eesmärk on üks muutuja ja see muutuja on võrk.

Kinnitage esmalt tavaline internetiühendus tõrkevõrgus, sealhulgas külalisportaal, kui see on olemas. Portaal, mida ei täidetud kunagi, tekitab aegumise, mis näeb täpselt välja nagu filtreeritud tunnel, ja see kontroll võtab minuti.

Neli etappi, neli erinevat veateadet

L2TP/IPsec ühendus läbib neli etappi ja RFC 3193 kirjeldab paigutust, mis seob kaks esimest. IKE läbirääkimine on koht, kus filtreeritud tee tekitab vaikse aegumise. IPsec autentimine on koht, kus sertifikaadi või eeljagatud võtme lahknevus tekitab selle asemel selgesõnalise tagasilükkamise. L2TP tunneli seadistamine on koht, kus juba loodud turvaassotsiatsioon ei pruugi ikkagi kuhugi viia, ja PPP sisselogimine on koht, kus vale sisselogimisandmed tekitavad lõpuks nähtava tõrke. Lugege logi selle etapi kohta, mis peatus, mitte viimase trükitud rea kohta.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

strongSwan logi näitab, kas IKE vahetus jõudis ettepanekuni ja kas partner üldse vastas, mis eraldab kättesaadavuse poliitikast. xl2tpd logi võtab üle seal, kus IPsec lõpeb, seega loodud turvaassotsiatsioon ilma millegita selles logis viitab L2TP etapile. Marsruudipäring kinnitab, et klient saadab serveri aadressile, mida te arvate, ja see püüab kinni eelmisest võrgust päritud vananenud DNS-vastuse. Koos nimetavad kolm väljundit etapi, mitte sümptomi.

Võrrelge NAT-i sügavust ja abilise käitumist

NAT-i läbimine viib kaitstud liikluse UDP kapseldamisele kui tõlge tuvastatakse, nii et töötavat sessiooni kandvad pordi-numbrid võivad erineda staatilisel diagrammil olevatest. Ühe seadistuspaketi lubamine ei tõesta midagi ülejäänud vahetuse kohta ja väline pordiskaneerimine ei saa teile öelda, kuidas partner kohtleb kehtivat autenditud liiklust. Teine tõlkekiht muudab pilti jälle, sest vastendus eksisteerib nüüd kaks korda ja aegub kahe erineva ajakava järgi. Operaatoritasandi tõlge mobiilühendusel on tavaline põhjus, miks töötav kontoriprofiil telefoni hot spotis ebaõnnestub.

Ruuteri abilised erinevad sama palju kui võrgud. Mõni püsivara püüab vahetuse kinni ja kirjutab selle ümber, mõni lihtsalt lõpetab selle äraviskamise, ja mõni rakendab seadet ainult vanemas režiimis. Lugege püsivara enda kirjeldust märkeruudu kohta ja kus on ühilduvusrežiim, testige seda ühe teadliku muudatusena, mitte kolmena korraga.

Väljuv klient, sisenev server: kaks erinevat probleemi

Väljuv klient ja sisenev server vajavad erinevat ülesvoolu kättesaadavust ning läbipääsufunktsioon, mis aitab esimest, ei tee teise jaoks midagi. Kodune ruuter, mis laseb sülearvutil jõuda kaugväravani, ei võta sellega vastu sissetulevaid ühendusi selle taga olevasse serverisse. Kahe segamini ajamine saadab teid otsima pordiedastust, mis ei olnud kunagi probleem. Enne millegi võrdlemist öelge, mis roll on tõrkevälisel seadmel.

Pärast toetatud muudatust korrake sama ühendust ja kirjutage üles saavutatud etapp. Hoidke töötav profiil ja märge tõrkevõrgu kohta koos ning ärge lähtestage sisselogimisandmeid ega installige klienti uuesti, sest see viskab ära tõendid, millele võrdlus rajati.