Kas teine L2TP klient tapab esimese? Lugege kapseldust

Üks sülearvuti hoiab kontorirouteri kaudu töötavat tunnelit. Teine sülearvuti samas ruumis ühendub ja esimene kukub välja. Kui see on kogu sümptom, on laual endiselt kolm erinevat põhjust, ja see, milline parandus kehtib, sõltub asjadest, mida te veel mõõtnud pole. Jagatud ruuter on asjakohane, kuid pole automaatselt süüdi, ja protokoll samuti mitte.

Kolm põhjust, mis diivanilt vaadates näevad identsed välja

Esimene kandidaat on ruuteri suhtumine IPsec-i. Odavad tarbijaruuterid reklaamivad sageli läbipääsu ja rakendavad seda korraga ühe kliendi jaoks, sest mehhanism jälgib ühte partnerit ega suuda eraldada kahte sülearvutit sama avaliku aadressi taga. Sümptom on täpselt see, mida ootaksite: võidab uuem seanss.

Teine on konto. Paljud VPN-serverid lubavad ühe seansi identiteedi kohta ja katkestavad vanema, kui samad volitused uuesti autenditakse, mis on lüüsil tehtav poliitikaotsus ega puutu kuidagi teie ruuterisse. Otsige seda selget teadet serveri logist enne, kui riistvara ostate.

Kolmas on lihtne vale seadistus: kaks profiili, mis osutavad samale identiteedile, ühel neist aegunud eeljagatud võti või sertifikaat, mida lüüs enam ei aktsepteeri. See ilmneb tavaliselt ebaõnnestunud teise ühendusena, mitte esimese katkemisena, nii et tõrke kuju ütleb teile juba midagi.

Mida L2TP/IPsec tegelikult läbi ruuteri saadab

IKE töötab UDP 500 peal. Andmetee on ESP, mis on IP-protokoll 50 ega kanna üldse TCP ega UDP porte. Ruuteril, mis mõistab ainult porte, pole seega millestki kinni haarata, ja täpselt sellepärast ongi läbipääsumehhanism olemas.

NAT-i läbimisega kapseldatakse ESP UDP 4500 sisse. Nüüd on ruuteril lähteport, mida kaardistada, ja iga sülearvuti saab oma tõlke, nii et lüüs suudab kahte voogu eristada. See on mehhanism, mis üldse teeb võimalikuks mitu klienti ühe aadressi taga.

See erinevus loeb, kui loete ruuteri funktsioonide loendit. Silt, mis ütleb IPsec läbipääs, ütleb teile, et tootjal on mingi mehhanism; see ei ütle, kas see mehhanism toetab mitut klienti või kuidas see käitub, kui teine saabub.

strongSwan-i NAT-i läbimise dokumentatsioon kirjeldab kapseldust ennast, ja see on osa, mida saate paketisalvestustest kontrollida, mitte turundusleheküljelt.

Kuidas teada saada, milline põhjus tegelikult on

Tehke neli vaatlust ja kirjutage iga tulemus üles. Iga sülearvuti üksi: kas see töötab, ja kui kaua? Mõlemad korraga: kumb jääb püsti? Teine sülearvuti telefonihotspotis: kas esimene püsib? Ja lüüsil: kas serveri logi näitab uut seanssi, mis asendab vana, või näitab ühte klienti, mis lihtsalt vaikib?

Need vastused eraldavad kandidaadid puhtalt. Asendusteadet serveri logis osutab identiteedipoliitikale. Klient, kes lakkab liiklust saamast, samal ajal kui ruuter näitab uut tõlget, osutab ruuterile. Kaks klienti, mis mõlemad ei suuda IKE-d lõpetada, osutavad seadistusele või volitustele.

Hoidke kogu aeg samu profiile. Profiili vahetamine testide vahel tähendab, et mõõdate kahte muutujat korraga, ja järeldus on vale viisil, mida on väga raske märgata.

Salvestage ruuteril, kui see seda toetab, või ühel sülearvutil, kui teine ühendub. Näha teise kliendi pakette ilmumas, samal ajal kui esimese omad lakkavad, on tugevam tõestus kui ükskõik milline ühendatud ikoon.

Kui ruuter on piirang

Kasutage tootja dokumenteeritud mitme kliendi seadistust, kui see olemas on, või asendage seade sellisega, mille dokumentatsioon ütleb, mida vajate. See on ilutsev vastus ja ainus, mis peab vastu püsivara uuendusele.

See, mis ei tööta, on kahe identse sissetuleva edastuse lisamine kahe erineva sülearvuti suunas. Edastus ütleb ruuterile, kuhu saabuvat liiklust saata; see ei ütle talle, millisesse kahest aktiivsest voost pakett kuulub, ja ebaselgus ongi viga.

Kui ruuterit ei saa välja vahetada, pange üks klient teise tee taha. Telefonihotspot on halb püsilahendus ja täiesti hea diagnostiline lahendus.

Kui lüüs on piirang

Looge eraldi identiteedid eraldi inimestele. Üks jagatud konto, mida kaks sülearvutit kasutavad, on lahendus, mis tekitab selle sümptomi ühe seansi jaoks seadistatud serverites, ja ükski kohalik seadistus ei paranda otsust, mis on tehtud teises otsas.

Küsige lüüsi omanikult, milline poliitika kehtib: üks seanss konto kohta, üks sertifikaadi kohta või üldse piiranguta. Nende vastus otsustab, kas vajate uusi volitusi või uut ruuterit.

Kontrollimine on see osa, mille inimesed vahele jätavad. Laske kasulikul liiklusel mõlemast kliendist kesta kauem kui intervall, mis varem läbi kukkus, sest kaks edukat sisselogimist tõestavad ainult seda, et autentimine töötas kummaski korra.