Bigarren L2TP bezeroak lehena hiltzen du? Irakurri kapsulatzea

Eramangarri batek laneko routerraren bidez funtzionatzen duen tunel bat mantentzen du. Gela berean bigarren eramangarri bat konektatzen da, eta lehena erortzen da. Hori sintoma osoa bada, hiru arrazoi desberdin daude oraindik mahai gainean, eta zein konponketa dagokion oraindik neurtu ez dituzun gauzen araberakoa da. Partekatutako routerra garrantzitsua da, baina ez da automatikoki erruduna, eta protokoloa ere ez.

Sofatik berdin ikusten diren hiru arrazoi

Lehen hautagaia routerrak IPsec-ekin duen jokabidea da. Kontsumo-router merkeek pasabidea iragartzen dute askotan eta bezero bakarrerako ezartzen dute aldi berean, mekanismoak pare bakar bat jarraitzen duelako eta ezin duelako bi eramangarri bereizi helbide publiko beraren atzean. Sintoma espero zenukeen zehatza da: saio berriena nagusitzen da.

Bigarrena kontua da. VPN zerbitzari askok identitate bakoitzeko saio bat uzten dute eta zaharragoa deskonektatzen dute kredentzial berberek berriro autentifikatzen direnean, hau atean hartutako politika-erabakia da eta ez du zure routerrarekin zerikusirik. Bilatu mezu esplizitu hori zerbitzariaren erregistroan hardwarea erosi aurretik.

Hirugarrena konfigurazio oker soila da: identitate berbera seinalatzen duten bi profil, bata aurreko partekatutako gako zaharkitu batekin edo ateak jada onartzen ez duen ziurtagiri batekin. Hori normalean bigarren konexio huts gisa agertzen da, lehena erori beharrean, beraz hutsegitearen formak zerbait esaten dizu jada.

Zer bidaltzen duen L2TP/IPsec-ek routerretik

IKE UDP 500 gainean ibiltzen da. Datu-bidea ESP da, hau IP protokolo 50 da eta ez du TCP ez UDP porturik eramaten. Beraz, portuak soilik ulertzen dituen routerrak ez du ezer ezusteko, eta horregatik dago pasabide-mekanismoa.

NAT zeharkatzearekin, ESP UDP 4500 barruan kapsulatzen da. Orain routerrak mapatzeko iturburu-portua du, eta eramangarri bakoitzak bere itzulpena lortzen du, beraz ateak bi fluxu bereiz ditzake. Hau da helbide baten atzean hainbat bezero funtziona dezan ahalbidetzen duen mekanismoa.

Bereizketa garrantzitsua da router baten ezaugarrien zerrenda irakurtzean. IPsec pasabidea dioen etiketa batek esaten dizu fabrikatzaileak mekanismo bat duela; ez dizu esaten mekanismo horrek hainbat bezero onartzen dituen edo nola jokatzen duen bigarrena iristen denean.

strongSwan-en NAT zeharkatzeari buruzko dokumentazioak kapsulatzea bera deskribatzen du, eta hori pakete-harrapaketetatik egiazta dezakezun zatia da, marketin-orrialdetik beharrean.

Nola jakin zein arrazoi duzun benetan

Egin lau behaketa eta idatzi emaitza bakoitza. Eramangarri bakoitza bakarka: funtzionatzen du, eta zenbat denboran? Biak aldi berean: zein irauten du? Bigarren eramangarria telefonoko hotspot batean: lehena zutik mantentzen da? Eta atean: zerbitzariaren erregistroak saio berri bat erakusten du zaharra ordeztuz, edo bezero bat isildu besterik egiten ez duela erakusten du?

Erantzun horiek hautagaiak garbi bereizten dituzte. Zerbitzariaren erregistroan ordezkatze-mezu batek identitate-politikara eramaten du. Routerrak itzulpen berri bat erakusten duen bitartean trafikoa jasotzeari uzten dion bezeroak routerrera eramaten du. IKE osatzen ez duten bi bezoek konfiguraziora edo kredentzialetara eramaten dute.

Mantendu profil berak hasieratik amaierara. Proba artean profila aldatzeak bi aldagai aldi berean neurtzen ari zarela esan nahi du, eta ondorioa okerra izango da nabaritzea oso zaila den moduan.

Hartu routerrean, onartzen badu, edo eramangarri batean bestea konektatzen den bitartean. Bigarren bezeroaren paketeak agertzen ikustea lehenengoarenak gelditzen diren bitartean, konektatuta dagoen ikono edozein baino froga sendoagoa da.

Routerra muga bada

Erabili fabrikatzailearen dokumentatutako bezero anitzeko konfigurazioa badago, edo ordeztu gailua zure behar dena dioen dokumentazioa duen beste batekin. Erantzun hori ez da liluragarria eta firmware eguneratze bat gainditzen duen bakarra da.

Funtzionatzen ez duena bi eramangarri desberdinentzako sarrerako bi bidetarazte berdin gehitzea da. Bidetarazte batek routerrari esaten dio hara bidali sarrerako trafikoa; ez dio esaten bi fluxu aktiboen artean zeini dagokion pakete bat, eta anbiguotasuna da akatsa.

Routerra ordeztu ezin bada, jarri bezero bat beste bide baten atzean. Telefonoko hotspot konponbide iraunkor eskasa eta diagnostikorako guztiz ona da.

Atea muga bada

Eman identitate bereiziak pertsona bereizietarako. Bi eramangarrik erabiltzen duten kontu partekatu bat da sintoma hau sortzen duen antolaketa saio bakarrerako konfiguratutako zerbitzarietan, eta tokiko konfigurazio batek ez du beste muturrean hartutako erabakia konpontzen.

Galdetu atearen jabeari zein politika aplikatzen den: saio bat kontu bakoitzeko, bat ziurtagiri bakoitzeko, edo mugarik ez. Haien erantzunak erabakitzen du kredentzial berriak behar dituzun edo router berri bat.

Egiaztatzea jendeak saltatzen duen zatia da. Pasa trafiko erabilgarria bi bezeroetatik lehen huts egiten zuen tartea baino luzeago, bi saio-hasiera zuzenek autentifikazioa kasu bakoitzean behin funtzionatu zuela soilik frogatzen dute eta.