آیا مشتری دوم L2TP مشتری اول را می‌کشد؟ کپسوله‌سازی را بخوانید
یک VPN کارآمد وقتی لپ‌تاپ دومی وصل می‌شود به صفر تبدیل می‌شود. کپسوله‌سازی ESP در برابر UDP، نگاشت پورت NAT و هویت تکراری را بررسی کنید، نه پروتکل را.
یک لپ‌تاپ یک تونل کارآمد از طریق روتر دفتر نگه می‌دارد. لپ‌تاپ دومی در همان اتاق وصل می‌شود و اولی قطع می‌شود. اگر این تمام نشانه باشد، هنوز سه علت متفاوت روی میز است و اینکه کدام راه‌حل جواب می‌دهد به چیزهایی بستگی دارد که هنوز اندازه‌گیری نکرده‌اید. روتر مشترک مرتبط است، اما خودبه‌خود مقصر نیست، و پروتکل هم نیست.
سه علتی که از روی کاناپه یکسان به نظر می‌رسند
نخستین گزینه نحوه برخورد روتر با IPsec است. روترهای مصرفی ارزان اغلب عبور مستقیم را تبلیغ می‌کنند و آن را برای یک مشتری در هر لحظه پیاده می‌کنند، چون سازوکار تنها یک همتا را ردیابی می‌کند و نمی‌تواند دو لپ‌تاپ را پشت یک نشانی عمومی از هم جدا کند. نشانه دقیقاً همان است که انتظار دارید: نشست تازه‌تر برنده می‌شود.
دومی حساب است. بسیاری از سرورهای VPN برای هر هویت یک نشست اجازه می‌دهند و وقتی همان اعتبارنامه‌ها دوباره احراز هویت شوند، نشست قدیمی‌تر را قطع می‌کنند؛ این تصمیمی سیاستی در دروازه است و هیچ ربطی به روتر شما ندارد. پیش از خریدن سخت‌افزار، آن پیام صریح را در گزارش سرور بجویید.
سومی یک پیکربندی ساده اشتباه است: دو پروفایل که به یک هویت اشاره می‌کنند، یکی با کلید از پیش به‌اشتراک‌گذاشته‌شده کهنه یا گواهینامه‌ای که دروازه دیگر نمی‌پذیرد. این معمولاً به‌صورت شکست اتصال دوم ظاهر می‌شود نه افتادن اولی، پس شکل شکست از قبل چیزی به شما می‌گوید.
L2TP/IPsec در واقع چه چیزی از روتر عبور می‌دهد
IKE روی UDP 500 کار می‌کند. مسیر داده ESP است که پروتکل IP شماره 50 است و اصلاً هیچ پورت TCP یا UDP حمل نمی‌کند. پس روتری که فقط پورت‌ها را می‌فهمد چیزی برای تکیه ندارد، و دقیقاً به همین دلیل سازوکار عبور مستقیم وجود دارد.
با گذر از NAT، ESP درون UDP 4500 کپسوله می‌شود. حالا روتر یک پورت مبدأ برای نگاشت دارد و هر لپ‌تاپ ترجمه خودش را می‌گیرد، بنابراین دروازه می‌تواند دو جریان را از هم تشخیص دهد. این همان سازوکاری است که چند مشتری پشت یک نشانی را اصلاً ممکن می‌کند.
این تفاوت وقتی فهرست ویژگی‌های یک روتر را می‌خوانید مهم است. برچسبی که می‌گوید عبور مستقیم IPsec فقط می‌گوید فروشنده سازوکاری دارد؛ نمی‌گوید آن سازوکار چند مشتری را پشتیبانی می‌کند یا وقتی دومی می‌رسد چه رفتاری دارد.
مستندات strongSwan درباره گذر از NAT خودِ کپسوله‌سازی را توصیف می‌کند، و این همان بخشی است که می‌توانید از ضبط بسته‌ها بررسی کنید نه از یک صفحه بازاریابی.
چگونه بفهمید واقعاً کدام علت را دارید
چهار مشاهده انجام دهید و هر نتیجه را بنویسید. هر لپ‌تاپ تنها: کار می‌کند و چه مدت؟ هر دو با هم: کدام می‌ماند؟ لپ‌تاپ دوم روی نقطه اتصال گوشی: آیا اولی سرپا می‌ماند؟ و در دروازه: آیا گزارش سرور نشستی تازه را نشان می‌دهد که جای نشست کهنه را می‌گیرد، یا مشتری‌ای را نشان می‌دهد که فقط ساکت می‌شود؟
آن پاسخ‌ها گزینه‌ها را تمیز جدا می‌کنند. پیام جایگزینی در گزارش سرور به سیاست هویت اشاره دارد. مشتری‌ای که دریافت ترافیک را متوقف می‌کند در حالی که روتر ترجمه تازه‌ای نشان می‌دهد به روتر اشاره دارد. دو مشتری که هر دو در کامل‌کردن IKE شکست می‌خورند به پیکربندی یا اعتبارنامه‌ها اشاره دارند.
در همه مراحل همان پروفایل‌ها را نگه دارید. عوض‌کردن پروفایل بین آزمون‌ها یعنی دو متغیر را همزمان می‌سنجید و نتیجه به شکلی غلط می‌شود که دیدنش بسیار سخت است.
اگر روتر پشتیبانی می‌کند همان‌جا ضبط کنید، یا روی یک لپ‌تاپ وقتی دیگری وصل می‌شود. دیدن ظاهر شدن بسته‌های مشتری دوم در حالی که بسته‌های اولی می‌ایستند، شواهدی قوی‌تر از هر نماد اتصال است.
اگر روتر محدودیت باشد
اگر پیکربندی چندمشتری مستند فروشنده وجود دارد از آن استفاده کنید، یا دستگاه را با یکی عوض کنید که مستنداتش می‌گوید چه لازم دارید. این پاسخی غیرجذاب است و تنها پاسخی است که از به‌روزرسانی میان‌افزار جان سالم به در می‌برد.
آنچه کار نمی‌کند افزودن دو ارسال ورودی یکسان به سوی دو لپ‌تاپ متفاوت است. ارسال به روتر می‌گوید ترافیک ورودی را کجا بفرستد؛ نمی‌گوید بسته به کدام یک از دو جریان فعال تعلق دارد، و همین ابهام اشکال است.
اگر روتر را نمی‌توان عوض کرد، یک مشتری را پشت مسیر دیگری بگذارید. نقطه اتصال گوشی راه‌حل دائمی ضعیفی است و راه‌حل تشخیصی کاملاً خوبی.
اگر دروازه محدودیت باشد
برای افراد جدا هویت‌های جدا فراهم کنید. یک حساب مشترک که دو لپ‌تاپ از آن استفاده می‌کنند همان چیدمانی است که این نشانه را روی سرورهای تنظیم‌شده برای یک نشست پدید می‌آورد، و هیچ پیکربندی محلی تصمیمی را که در آن سر تغییر می‌کند درست نمی‌کند.
از صاحب دروازه بپرسید کدام سیاست اعمال می‌شود: یک نشست برای هر حساب، یکی برای هر گواهینامه، یا هیچ محدودیتی. پاسخشان تعیین می‌کند که اعتبارنامه تازه لازم دارید یا روتر تازه.
بررسی همان بخشی است که مردم از آن می‌گذرند. ترافیک مفید را از هر دو مشتری بیشتر از بازه‌ای که قبلاً شکست می‌خورد اجرا کنید، چون دو ورود موفق فقط ثابت می‌کند احراز هویت هر بار یک بار کار کرده است.