Le second client L2TP tue-t-il le premier ? Lisez l’encapsulation

Un ordinateur portable maintient un tunnel fonctionnel à travers le routeur du bureau. Un second ordinateur portable dans la même pièce se connecte, et le premier tombe. Si c’est tout le symptôme, trois causes différentes restent sur la table, et la correction applicable dépend de choses que vous n’avez pas encore mesurées. Le routeur partagé est pertinent, mais il n’est pas automatiquement coupable, et le protocole non plus.

Trois causes qui semblent identiques depuis le canapé

Le premier candidat est la façon dont le routeur traite IPsec. Les routeurs grand public bon marché annoncent souvent le passthrough et l’implémentent pour un seul client à la fois, parce que le mécanisme suit un seul pair et ne peut pas séparer deux ordinateurs derrière la même adresse publique. Le symptôme est exactement ce à quoi vous vous attendriez : la session la plus récente gagne.

La deuxième est le compte. Beaucoup de serveurs VPN autorisent une session par identité et déconnectent la plus ancienne lorsque les mêmes identifiants s’authentifient à nouveau, ce qui est une décision de politique sur la passerelle et n’a rien à voir avec votre routeur. Cherchez ce message explicite dans le journal du serveur avant d’acheter du matériel.

La troisième est une simple mauvaise configuration : deux profils pointant vers la même identité, l’un avec une clé pré-partagée périmée ou un certificat que la passerelle n’accepte plus. Celui-là se manifeste généralement par une seconde connexion en échec plutôt que par la chute de la première, donc la forme de l’échec vous dit déjà quelque chose.

Ce que L2TP/IPsec envoie réellement à travers le routeur

IKE passe par UDP 500. Le chemin de données est ESP, qui est le protocole IP 50 et ne transporte aucun port TCP ou UDP. Un routeur qui ne comprend que les ports n’a donc rien sur quoi s’appuyer, et c’est exactement pourquoi le mécanisme de passthrough existe.

Avec la traversée NAT, ESP est encapsulé dans UDP 4500. Le routeur a maintenant un port source à mapper, et chaque ordinateur portable obtient sa propre traduction, si bien que la passerelle peut distinguer deux flux. C’est le mécanisme qui rend possible plusieurs clients derrière une adresse.

La distinction compte quand vous lisez la liste des fonctions d’un routeur. Une étiquette qui dit passthrough IPsec vous dit que le fabricant a un mécanisme ; elle ne vous dit pas si ce mécanisme prend en charge plusieurs clients ni comment il se comporte à l’arrivée du second.

La documentation de strongSwan sur la traversée NAT décrit l’encapsulation elle-même, et c’est la partie que vous pouvez vérifier à partir de captures de paquets plutôt que d’une page marketing.

Comment savoir quelle cause vous avez réellement

Faites quatre observations et notez chaque résultat. Chaque ordinateur seul : fonctionne-t-il, et pendant combien de temps ? Les deux à la fois : lequel survit ? Le second ordinateur sur un partage de connexion de téléphone : le premier reste-t-il debout ? Et sur la passerelle : le journal du serveur montre-t-il une nouvelle session qui remplace une ancienne, ou montre-t-il un client qui devient simplement silencieux ?

Ces réponses séparent proprement les candidats. Un message de remplacement dans le journal du serveur pointe vers la politique d’identité. Un client qui cesse de recevoir du trafic alors que le routeur affiche une nouvelle traduction pointe vers le routeur. Deux clients qui échouent tous deux à terminer IKE pointent vers la configuration ou les identifiants.

Gardez les mêmes profils tout du long. Changer de profil entre les tests signifie que vous mesurez deux variables à la fois, et la conclusion sera fausse d’une manière très difficile à remarquer.

Capturez sur le routeur s’il le permet, ou sur un ordinateur pendant que l’autre se connecte. Voir les paquets du second client apparaître pendant que ceux du premier s’arrêtent est une preuve plus solide que n’importe quelle icône de connexion.

Si le routeur est la contrainte

Utilisez la configuration multi-client documentée du fabricant si elle existe, ou remplacez l’appareil par un modèle dont la documentation dit ce dont vous avez besoin. C’est une réponse peu glamour et la seule qui survive à une mise à jour du micrologiciel.

Ce qui ne fonctionne pas, c’est d’ajouter deux redirections entrantes identiques vers deux ordinateurs différents. Une redirection indique au routeur où envoyer le trafic entrant ; elle ne lui dit pas auquel de deux flux actifs appartient un paquet, et l’ambiguïté est le défaut.

Si le routeur ne peut pas être remplacé, placez un client derrière un autre chemin. Un partage de connexion de téléphone est une mauvaise solution permanente et une solution de diagnostic parfaitement bonne.

Si la passerelle est la contrainte

Prévoyez des identités distinctes pour des personnes distinctes. Un compte partagé utilisé par deux ordinateurs est la disposition qui produit ce symptôme sur des serveurs configurés pour une seule session, et aucune configuration locale ne corrige une décision prise à l’autre bout.

Demandez au propriétaire de la passerelle quelle politique s’applique : une session par compte, une par certificat, ou aucune limite. Leur réponse décide si vous avez besoin de nouveaux identifiants ou d’un nouveau routeur.

La vérification est la partie que les gens sautent. Faites passer du trafic utile depuis les deux clients plus longtemps que l’intervalle qui échouait auparavant, car deux connexions réussies prouvent seulement que l’authentification a fonctionné une fois chacune.