Tappaako toinen L2TP-asiakas ensimmäisen? Lue kapselointi

Yksi kannettava pitää toimivaa tunnelia toimistorouterin kautta. Toinen kannettava samassa huoneessa yhdistää, ja ensimmäinen putoaa. Jos se on koko oire, pöydällä on edelleen kolme eri syytä, ja se, mikä korjaus pätee, riippuu asioista, joita et ole vielä mitannut. Jaettu reititin on merkityksellinen, mutta ei automaattisesti syyllinen, eikä protokollakaan.

Kolme syytä, jotka näyttävät sohvalta identtisiltä

Ensimmäinen ehdokas on reitittimen tapa käsitellä IPsec-liikennettä. Halvat kuluttajareitittimet mainostavat usein läpikulkua ja toteuttavat sen yhdelle asiakkaalle kerrallaan, koska mekanismi seuraa yhtä vastapuolta eikä pysty erottamaan kahta kannettavaa saman julkisen osoitteen takana. Oire on täsmälleen se, mitä odottaisit: uudempi istunto voittaa.

Toinen on tili. Monet VPN-palvelimet sallivat yhden istunnon identiteettiä kohden ja katkaisevat vanhemman, kun samat tunnukset todennetaan uudelleen, mikä on käyttöoikeuspäätös yhdyskäytävässä eikä liity reitittimeesi mitenkään. Etsi se nimenomainen viesti palvelimen lokista ennen kuin ostat laitteistoa.

Kolmas on yksinkertainen väärä kokoonpano: kaksi profiilia osoittaa samaan identiteettiin, toisessa vanhentunut jaettu avain tai varmenne, jota yhdyskäytävä ei enää hyväksy. Se näkyy yleensä epäonnistuneena toisena yhteytenä eikä ensimmäisen putoamisena, joten vian muoto kertoo sinulle jo jotain.

Mitä L2TP/IPsec todella lähettää reitittimen läpi

IKE kulkee UDP 500:n yli. Datapolku on ESP, joka on IP-protokolla 50 eikä kanna lainkaan TCP- tai UDP-portteja. Siksi reitittimellä, joka ymmärtää vain portteja, ei ole mitään mihin tarttua, ja juuri siksi läpikulkumekanismi on olemassa.

NAT-läpäisyn kanssa ESP kapseloidaan UDP 4500:n sisään. Nyt reitittimellä on lähdeportti kartoitettavana, ja jokainen kannettava saa oman käännöksensä, joten yhdyskäytävä voi erottaa kaksi virtaa. Tämä on mekanismi, joka ylipäänsä mahdollistaa useat asiakkaat yhden osoitteen takana.

Erolla on merkitystä, kun luet reitittimen ominaisuusluetteloa. Tunniste, jossa lukee IPsec-läpäisy, kertoo, että valmistajalla on jokin mekanismi; se ei kerro, tukeeko se mekanismi useita asiakkaita tai miten se käyttäytyy, kun toinen saapuu.

strongSwanin NAT-läpäisydokumentaatio kuvaa itse kapseloinnin, ja se on osa, jonka voit varmistaa pakettikaappauksista etkä markkinointisivulta.

Miten selvität, mikä syy sinulla todella on

Tee neljä havaintoa ja kirjoita jokainen tulos muistiin. Kukin kannettava yksin: toimiiko se, ja kuinka kauan? Molemmat yhtä aikaa: kumpi selviää? Toinen kannettava puhelimen hotspotissa: pysyykö ensimmäinen pystyssä? Ja yhdyskäytävässä: näyttääkö palvelimen loki uuden istunnon korvaavan vanhan, vai näyttääkö se yhden asiakkaan yksinkertaisesti vaikenevan?

Ne vastaukset erottavat ehdokkaat puhtaasti. Palvelimen lokin korvausviesti viittaa identiteettikäytäntöön. Asiakas, joka lakkaa vastaanottamasta liikennettä samalla kun reititin näyttää uuden käännöksen, viittaa reitittimeen. Kaksi asiakasta, jotka molemmat epäonnistuvat IKE:n viimeistelyssä, viittaavat kokoonpanoon tai tunnuksiin.

Pidä samat profiilit koko ajan. Profiilin vaihtaminen testien välillä tarkoittaa, että mittaat kahta muuttujaa yhtä aikaa, ja johtopäätös on väärä tavalla, jota on hyvin vaikea huomata.

Kaappaa reitittimellä, jos se tukee sitä, tai yhdellä kannettavalla, kun toinen yhdistää. Sen näkeminen, että toisen asiakkaan paketit ilmestyvät samalla kun ensimmäisen pysähtyvät, on vahvempi todiste kuin mikään yhdistetty-kuvake.

Jos reititin on rajoite

Käytä valmistajan dokumentoitua moniasiakaskokoonpanoa, jos sellainen on, tai vaihda laite sellaiseen, jonka dokumentaatio kertoo tarvitsemasi. Se on tylsä vastaus ja ainoa, joka kestää laiteohjelmistopäivityksen.

Se, mikä ei toimi, on kahden samanlaisen saapuvan edelleenohjauksen lisääminen kahteen eri kannettavaan. Edelleenohjaus kertoo reitittimelle, mihin saapuva liikenne lähetetään; se ei kerro, kumpaan kahdesta aktiivisesta virrasta paketti kuuluu, ja epäselvyys on vika.

Jos reititintä ei voi vaihtaa, laita yksi asiakas toisen polun taakse. Puhelimen hotspot on huono pysyvä ratkaisu ja täysin hyvä diagnoosiratkaisu.

Jos yhdyskäytävä on rajoite

Järjestä erilliset identiteetit eri ihmisille. Yksi jaettu tili, jota kaksi kannettavaa käyttää, on järjestely, joka tuottaa tämän oireen palvelimilla, jotka on määritetty yhteen istuntoon, eikä mikään paikallinen kokoonpano korjaa toisessa päässä tehtyä päätöstä.

Kysy yhdyskäytävän omistajalta, mikä käytäntö pätee: yksi istunto tiliä kohden, yksi varmentetta kohden vai ei rajaa lainkaan. Heidän vastauksensa ratkaisee, tarvitsetko uudet tunnukset vai uuden reitittimen.

Varmistus on se osa, jonka ihmiset ohittavat. Aja hyödyllistä liikennettä molemmista asiakkaista pidempään kuin se väli, joka ennen petti, koska kaksi onnistunutta kirjautumista todistaa vain, että todennus toimi kummassakin kerran.