Teine VPN-klient lõhkus esimese: leidke jagatud ressurss

Eile töötas algne klient. Täna nõuab uustulnuk ühendust, samal ajal kui vanem profiil jääb pidama etapil, millest see varem kaebusteta möödus. Mandaadid on harva mängus ja lüüs on tavaliselt süütu. Muutus see, et kaks VPN-pinu tahavad nüüd sama eksklusiivset ressurssi, ja parandus sõltub selle nimetamisest. Käige kihid läbi, selle asemel et mõlemad uuesti paigaldada.

Käige neli kihti järjekorras läbi

VPN-toode vajab nelja ressurssi, mis võivad kokku põrgata: taustateenus, mis keeldub sageli kaks korda töötamast, fikseeritud port, virtuaalne adapter või tuumafilter, mis näeb liiklust enne marsruutimistabelit, ja õigus paigaldada marsruute vaikimisi marsruudi ette. Teamine, milline neist järele andis, muudab ähmase konflikti üheks küsimuseks, millel on kontrollitav vastus.

Seostage sümptom kihiga enne, kui millegi puudutate. Klient, mis ei käivitu, osutab teenusele; see, mis käivitub ega läbi kunagi läbirääkimisi, osutab pordile; see, mis ühendub, samal ajal kui teine kaotab kogu ühenduvuse, osutab filtrile või vaikimisi marsruudile. Kirjutage see vastendus üles, sest see säästab tunni rakenduste uuesti paigaldamist lootuses.

Alustage teenusest, mis ei taha kaks korda töötada

Windowsis on ettevõtteklient tavaliselt rohkem kui tunnel, sest see paigaldab profiili kõrvale teenuse, filtrdraiveri ja mõnikord mandaadipakkuja. Kirjutage üles, millised teenused töötavad enne muudatust ja uuesti pärast seda, seejärel võrrelge kahte nimekirja, selle asemel et uuesti käivitada, kuni miski töötab. Teenused võivad üksteist sõltuvuste kaudu ka välistada, kus ühe käivitamine peatab teise, ja sama muster ilmneb macOS-is launchd-tööde ja jagatud deemoniga. Klient, mis käivitub ja väljub sekundite jooksul, teatab omandist, mitte konfiguratsioonist.

Lugege teenuse olekut ja selle logi enne profiili lugemist. Teenus, mis käivitus ja peatus sama minuti jooksul, on muster, mida otsida, ja selle enda sündmuslogi nimetab sõltuvuse, mis selle välja tõrjus. Profiil ei saa parandada protsessi, mis ei tööta, ja selle redigeerimisele kulutatud aeg on aeg, mida ei kulutata tegelikule konfliktile.

Seejärel küsige, kellele port kuulub

Pordiomand on kõige selgem tõend, mille saate, sest sidumise ebaõnnestumine nimetab konflikti otse. Kaks IKE-teostust ei saa mõlemad vastata samal kohalikul aadressil ja UDP-pordil, ja ükski korduskatsete hulk ei muuda seda.

Get-NetUDPEndpoint -LocalPort 500,4500 | Select-Object LocalAddress,LocalPort,OwningProcess
netstat -ano | findstr :500
sudo lsof -nP -iUDP:500
ss -lunp | grep -E ':500|:4500'

Ükskõik milline rida teie platvormile sobib, vastus, mida soovite, on protsess ja teenus, mis selle lõi. Kui kuulaja on sisseehitatud IKE-teenus, on teine klient sissetungija; kui see on tarnija agent, on seda sisseehitatud klient. Otsustage, milline tohib sisselogimisel käivituda, ja keelake teise automaatkäivitus, selle asemel et seda igal seansil tappa.

Filtrdraiver asub teie marsruutide all

Võrgufiltrdraiver püüab kinni liikluse adapteri ja protokollipinu vahel, seega saab see pakette ümber kirjutada või blokeerida olenemata sellest, mida marsruutimistabel ütleb. Nii jäetakse täpne näiv marsruut tähelepanuta, ja seetõttu võib edukas ping seista brauseri kõrval, mis ei suuda midagi laadida.

Tarnija komponendid seovad end ka konkreetsete ühendustega. Ühe adapteriga seotud vana filter võib takistada muidu korrektset profiili oma kätlemist lõpetamast, ja selle komponendi lahti sidumine adapteri omadustest on kitsam ja pöörduvam kui toote täielik eemaldamine. Kuna sidumine kehtib ühenduse kohta, võrrelge adaptreid, mitte kogu pinu.

Otsustage, milline toode omab alglaadimist, ja kirjutage see üles

Kooseksisteerimine on realistlik ainult siis, kui kaks klienti hoiavad disaini järgi erinevaid kihte, näiteks IPsec-pinu kõrval puhverserveriga, mis tegeleb ainult rakendusliiklusega. Kui mõlemad tahavad sama porti, sama filtrkihti või õigust avaldada vaikimisi marsruuti, jätkavad nad kordamööda ja iga tõrge näeb välja nagu uus rike.

Valige omanik teadlikult. Vormid, mis elavad üle taaskäivituse, hõlmavad teise kliendi käitamist virtuaalmasinas, selle hoidmist sihtotstarbelisel riistvaral või standardiseerimist ühele kliendile, mis räägib mõlemat protokolli. Kaotaja automaatkäivituse ja teenuse keelamine on väiksem muudatus kui marsruutimistabeli ülesehitamine pärast igat käivitust, ja see võetakse tagasi ühe seadete muudatusega.