Deadet it twadde L2TP-klant it earste? Lês de ynkapseling

Ien laptop hâldt in wurkjende tunnel troch de kantoarrouter. In twadde laptop yn deselde keamer ferbynt, en de earste falt fuort. As dat it hiele symptoom is, steane der noch trije ferskillende oarsaken op tafel, en hokker oplossing jildt hinget ôf fan dingen dy’t jo noch net metten hawwe. De dielde router is relevant, mar net automatysk skuldich, en it protokoll ek net.

Trije oarsaken dy’t fan de bank ôf identyk lykje

De earste kandidaat is de omgong fan de router mei IPsec. Goedkeape konsuminterouters advertearje faak trochlaat en fiere it út foar ien klant tagelyk, om’t it meganisme ien peer folget en twa laptops efter itselde iepenbiere adres net skiede kin. It symptoom is krekt wat jo ferwachtsje: de nijere sesje wint.

De twadde is it akkount. In protte VPN-tsjinners tastean ien sesje per identiteit en ferbrekke de âldere as deselde oanmeldgegevens wer ferifisearje, wat in beliedsbeslút op de poarte is en neat mei jo router te meitsjen hat. Sykje dat eksplisite berjocht yn it tsjinnerlog foardat jo hardware keapje.

De tredde is in gewoane ferkearde ynstelling: twa profilen dy’t nei deselde identiteit wize, ien dêrfan mei in ferâldere foarôf dielde kaai of in sertifikaat dat de poarte net mear akseptearret. Dy lit him meast sjen as in mislearre twadde ferbining ynstee fan in fuortfallen earste, dus de foarm fan de flater fertelt jo al wat.

Wat L2TP/IPsec eins troch de router stjoert

IKE rint oer UDP 500. It datapaad is ESP, dat is IP-protokol 50 en draacht hielendal gjin TCP- of UDP-poarten. In router dy’t allinnich poarten begrypt hat dus neat om op te kaai, en dêrom bestiet it trochlaatmeganisme.

Mei NAT-trochgong wurdt ESP yn UDP 4500 ynkapsele. No hat de router in boarneport om te mappen, en elke laptop krijt syn eigen oersetting, sadat de poarte twa streamen skiede kin. Dat is it meganisme dat meardere klanten efter ien adres uberhaupt mooglik makket.

It ferskil is wichtich as jo de funksjelist fan in router lêze. In label dat IPsec-trochlaat seit fertelt jo dat de leveransier in meganisme hat; it fertelt jo net oft dat meganisme ferskate klanten stipet of hoe’t it him hâldt as de twadde oankomt.

De NAT-trochgongdokumintaasje fan strongSwan beskriuwt de ynkapseling sels, en dat is it part dat jo út pakketopnamen ferifiearje kinne ynstee fan út in marketingpagina.

Hoe jo witte hokker oarsaak jo eins hawwe

Doch fjouwer waarnimmings en skriuw elk resultaat op. Elke laptop allinnich: wurket it, en hoe lang? Beide tagelyk: hokker oerlibbet? De twadde laptop op in tillefoanhotspot: bliuwt de earste stean? En by de poarte: lit it tsjinnerlog in nije sesje sjen dy’t in âlde ferfangt, of lit it ien klant sjen dy’t gewoan stil wurdt?

Dy antwurden skiede de kandidaten skjin. In ferfangingsberjocht yn it tsjinnerlog wiist op identiteitsbelied. In klant dy’t ophâldt ferkear te ûntfangen wylst de router in nije oersetting lit sjen, wiist op de router. Twa klanten dy’t beide IKE net foltôgje, wize op ynstelling of oanmeldgegevens.

Hâld itselde profilen troch de tiid. It profyl tusken tests feroarje betsjut dat jo twa fariabelen tagelyk mjitte, en de konklúzje sil ferkeard wêze op in manier dy’t hiel dreech te fernimmen is.

Meitsje in opname op de router as dy dat stipet, of op ien laptop wylst de oare ferbynt. De pakketten fan de twadde klant ferskine sjen wylst dy fan de earste stopje is sterker bewiis as hokker ferbûn-ikoan dan ek.

As de router de beheining is

Brûk de dokumintearre multiklantynstelling fan de leveransier as dy bestiet, of ferfang it apparaat troch ien waans dokumintaasje seit wat jo nedich hawwe. Dat is in ûnglamourôze antwurd en it is it iennichste dat in firmware-update oerlibbet.

Wat net wurket is twa identike ynkommende trochstjoeringen nei twa ferskillende laptops taheakje. In trochstjoering fertelt de router wêr’t oankommend ferkear hinne moat; it fertelt him net ta hokker fan twa aktive streamen in pakket heart, en de dûbelsinnigens is de bug.

As de router net ferfongen wurde kin, set dan ien klant efter in oare wei. In tillefoanhotspot is in minne permaninte oplossing en in folslein goede diagnostyske.

As de poarte de beheining is

Foarsjoch aparte identiteiten foar aparte minsken. Ien dield akkount dat troch twa laptops brûkt wurdt is de regeling dy’t dit symptoom makket op tsjinners ynsteld foar ien sesje, en gjin lokale ynstelling reparearret in beslút dat oan de oare kant nommen is.

Freegje de eigner fan de poarte hokker belied jildt: ien sesje per akkount, ien per sertifikaat, of hielendal gjin limyt. Harren antwurd beslút oft jo nije oanmeldgegevens of in nije router nedich hawwe.

Ferifikaasje is it part dat minsken oerslaan. Lit nuttich ferkear fan beide klanten langer rinne as it ynterval dat earder mislearre, om’t twa slagge oanmeldingen allinnich bewize dat de ferifikaasje by elk ien kear wurke hat.