L2TP/IPsec yhdistää yhdessä verkossa ja aikakatkaisee toisessa

Sama kannettava, sama profiili ja sama salasana toimivat yhdessä rakennuksessa ja epäonnistuvat toisessa. Tämä vertailu on lipun hyödyllisin todiste, ja se on yleensä ensimmäinen asia, joka hylätään. Kahden käyttöverkon välillä vaihto kulkee erilaisen osoitemuunnoksen, erilaisten suodattimien ja erilaisten reitittimen apureiden läpi. Asiakkaan pitäminen muuttumattomana ja vain verkon vaihtaminen on tapa selvittää, millä näistä on merkitystä.

Lukitse asiakas ennen verkkojen vertailua

Älä muuta laitteessa mitään ennen kuin sinulla on kirjaus toimivasta tapauksesta: asiakkaan versio, profiilin sisältö, palvelimen nimi ja onnistuneen yhteyden aika. Toista sitten vika toisessa verkossa saman istunnon aikana, jotta asiakkaan tila on mahdollisimman identtinen. Kahden yrityksen välissä muokattu profiili mitätöi koko vertailun. Tavoitteena on yksi muuttuja, ja se muuttuja on verkko.

Vahvista ensin tavallinen internetyhteys viallisessa verkossa, mukaan lukien vierasportaali, jos sellainen on. Portaali, jota ei koskaan täytetty, tuottaa aikakatkaisun, joka näyttää täsmälleen suodatetulta tunnelilta, ja se tarkistus vie minuutin.

Neljä vaihetta, neljä erilaista virheilmoitusta

L2TP/IPsec-yhteys kulkee neljän vaiheen läpi ja RFC 3193 kuvaa järjestelyn, joka sitoo kaksi ensimmäistä. IKE-neuvottelu on paikka, jossa suodatettu polku tuottaa hiljaisen aikakatkaisun. IPsec-todennus on paikka, jossa varmenteen tai ennalta jaetun avaimen eroavuus tuottaa sen sijaan nimenomaisen hylkäyksen. L2TP-tunnelin pystytys on paikka, jossa jo muodostettu suojausyhteys voi silti johtaa ei mihinkään, ja PPP-kirjautuminen on paikka, jossa väärä tunnistetieto tuottaa lopulta näkyvän virheen. Lue loki vaiheesta, joka pysähtyi, älä viimeisestä tulostetusta rivistä.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

strongSwan-loki näyttää, saavuttiko IKE-vaihto ehdotuksen ja vastasiko vertaislaite ylipäätään, mikä erottaa tavoitettavuuden käytännöstä. xl2tpd-loki jatkaa siitä, mihin IPsec päättyy, joten muodostettu suojausyhteys ilman mitään siinä lokissa viittaa L2TP-vaiheeseen. Reittikysely vahvistaa, että asiakas lähettää palvelimen osoitteeseen, jota luulet, ja se nappaa edellisestä verkosta perityn vanhentuneen DNS-vastauksen. Yhdessä kolme tulostetta nimeävät vaiheen oireen sijaan.

Vertaa NATin syvyyttä ja apurin käyttäytymistä

NAT-läpäisy siirtää suojatun liikenteen UDP-kapselointiin kun muunnos havaitaan, joten toimivaa istuntoa kuljettavat porttinumerot voivat poiketa staattisen kaavion numeroista. Yhden pystytyspaketin salliminen ei todista mitään muusta vaihdosta, eikä ulkoinen porttiskannaus voi kertoa, miten vertaislaite kohtelee kelvollista todennettua liikennettä. Toinen muunnoskerros muuttaa kuvaa jälleen, koska mappaus on nyt olemassa kahdesti ja päättyy kahden eri aikataulun mukaan. Operaattoritason muunnos mobiiliyhteydessä on tavallinen syy siihen, että toimiva toimistoprofiili epäonnistuu puhelimen hotspotissa.

Reitittimen apurit vaihtelevat yhtä paljon kuin verkot. Jotkin laiteohjelmistot sieppaavat ja kirjoittavat vaihdon uudelleen, jotkut vain lopettavat sen pudottamisen, ja jotkut soveltavat asetusta vain vanhemmassa tilassa. Lue laiteohjelmiston oma kuvaus valintaruudusta, ja jos yhteensopivuustila on olemassa, testaa sitä yhtenä tarkoituksellisena muutoksena kolmen sijaan.

Lähtevä asiakas, saapuva palvelin: kaksi eri ongelmaa

Lähtevä asiakas ja saapuva palvelin tarvitsevat erilaisen ylösvirtauksen tavoitettavuuden, eikä läpikulkutoiminto, joka auttaa ensimmäistä, tee toiselle mitään. Kotireititin, joka päästää kannettavan etäyhdyskäytävään, ei silti hyväksy saapuvia yhteyksiä sen takana olevaan palvelimeen. Kahden sekoittaminen lähettää sinut etsimään portinohjausta, joka ei koskaan ollut ongelma. Kerro, mikä rooli viallisella laitteella on, ennen kuin vertaat mitään.

Tuetun muutoksen jälkeen toista sama yhteys ja kirjaa saavutettu vaihe. Pidä toimiva profiili ja merkintä viallisesta verkosta yhdessä, äläkä nollaa tunnistetietoja tai asenna asiakasta uudelleen, koska se heittää pois todisteet, joille vertailu rakennettiin.