L2TP/IPsec ferbynt yn it iene netwurk en rint yn it oare op in tiidlimit

Deselde laptop, itselde profyl en itselde wachtwurd wurkje yn it iene gebou en mislearje yn it oare. Dy ferliking is it meast nuttige bewiis yn it ticket, en it is meastentiids it earste ding dat fuortgoaid wurdt. Tusken twa tagongsnetwurken giet de útwikseling troch oare adresfertaaling, oare filters en oare routerhelpers. De klient fêst hâlde en allinnich it netwurk feroarje is de manier om út te finen hokker dêrfan fan belang is.

Set de klient fêst foardat jo netwurken ferlykje

Feroarje neat op it apparaat oant jo in registraasje hawwe fan it wurkjende gefal: klientferzje, profylynhâld, servernamme en de tiid fan de slagge ferbining. Reprodusearje dan de flater yn it twadde netwurk yn deselde sesje, sadat de klintsteat sa identyk mooglik is. In profyl dat tusken de twa pogingen bewurke is, makket de hiele ferliking ûnjildich. It doel is ien fariabele, en dy fariabele is it netwurk.

Befêstigje earst gewoane ynternettagong yn it mislearjende netwurk, ynklusyf in gastportal as dy der is. In portal dêr't nea oan foldien is, produsearret in tiidlimit dy't der krekt as in filtere tunnel útsjocht, en dy kontrôle duorret in minút.

Fjouwer fazen, fjouwer ferskillende flaterberjochten

In L2TP/IPsec-ferbining giet troch fjouwer fazen, en RFC 3193 beskriuwt de regeling dy't de earste twa bûn hat. IKE-ûnderhanneling is dêr't in filtere paad in stille tiidlimit produsearret. IPsec-autentikaasje is dêr't in ôfwiking fan sertifikaat of foarôf dielde kaai ynstee in eksplisite ôfwizing produsearret. It opsetten fan de L2TP-tunnel is dêr't in al fêstige befeiligingsassosjaasje dochs nearne hinneliede kin, en de PPP-ynlog is dêr't in ferkeard oanmeldgegevens einlings in sichtbere flater produsearret. Lês de log foar de faze dy't stoppe, net foar de lêste rigel dy't printe waard.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

De strongSwan-log lit sjen oft de IKE-útwikseling in foarstel berikte en oft de peer hielendal antwurde, wat berikberens fan belied skiedt. De xl2tpd-log nimt oer dêr't IPsec einiget, dus in fêstige befeiligingsassosjaasje sûnder eat yn dy log wiist op de L2TP-faze. De rûtefrage befêstiget dat de klient stjoert nei it serveradres dat jo tinke, wat in ferâldere DNS-antwurd fangt dat fan it foarige netwurk erfd is. Tegearre neame de trije útfier in faze ynstee fan in symptoom.

Ferlykje de NAT-djipte en it gedrach fan de helper

NAT-traversaasje ferpleatst beskerme ferkear nei UDP-ynkapseling as fertaaling ûntdutsen wurdt, sadat de poartnûmers dy't in wurkjende sesje drage oars wêze kinne as dy yn in statysk diagram. Ien opsetpakket tastean bewiist neat oer de rest fan de útwikseling, en in eksterne poartscan kin jo net fertelle hoe't de peer mei jildich autentisearre ferkear omgiet. In twadde fertaallae feroaret it byld wer, om't de mapping no twa kear bestiet en neffens twa ferskillende skema's ferrint. Fertaaling op operatorsnivo op in mobile ferbining is de gewoane reden wêrom't in wurkjend kantoarprofyl op in tillefoanhotspot mislearret.

Routerhelpers ferskille likefolle as de netwurken. Guon firmware ûnderskeppe en skriuwe de útwikseling oer, oaren hâlde gewoan op mei it fuortgoaien, en guon passe de ynstelling allinnich ta yn in âldere modus. Lês de eigen beskriuwing fan 'e firmware fan it kontrôlefak, en wêr't in kompatibiliteitsmodus bestiet, test it as ien bewuste feroaring ynstee fan trije tagelyk.

Utgeande klient, ynkommende server: twa ferskillende problemen

In útgeande klient en in ynkommende server hawwe oare berikberens streamop nedich, en in trochjefunksje dy't de earste helpt, docht neat foar de twadde. In thússrouter dy't de laptop nei in ôfstânspoarte lit komme, akseptearret dêrtroch gjin ynkommende ferbiningen nei in server dêrefter. De beide trochinoar helje stjoert jo op syk nei poarttrochferwizing dy't nea it probleem wie. Neam hokker rol it mislearjende apparaat spilet foardat jo eat ferlykje.

Nei in stipe feroaring, werhelje deselde ferbining en registrearje de faze dy't it berikte. Hâld it wurkjende profyl en de notysje oer it mislearjende netwurk byinoar, en set de oanmeldgegevens net werom en ynstallearje de klient net opnij, want dat smyt it bewiis fuort dêr't de ferliking op boud wie.