L2TP/IPsec conecta nunha rede e queda sen resposta noutra

O mesmo portátil, o mesmo perfil e o mesmo contrasinal funcionan nun edificio e fallan noutro. Esa comparación é a proba máis útil do caso, e adoita ser o primeiro que se descarta. Entre dúas redes de acceso, o intercambio pasa por unha tradución de enderezos distinta, filtros distintos e axudantes de router distintos. Manter o cliente fixo e cambiar só a rede é a forma de descubrir cal desas cousas importa.

Fixe o cliente antes de comparar redes

Non cambie nada no dispositivo ata ter un rexistro do caso que funciona: versión do cliente, contido do perfil, nome do servidor e hora da conexión correcta. Despois reproduza o fallo na segunda rede durante a mesma sesión, para que o estado do cliente sexa o máis parecido posible. Un perfil editado entre os dous intentos invalida toda a comparación. O obxectivo é unha soa variable, e esa variable é a rede.

Confirme primeiro o acceso normal a internet na rede que falla, incluído un portal de convidados se o hai. Un portal que nunca se completou produce un tempo de espera que se parece exactamente a un túnel filtrado, e esa comprobación leva un minuto.

Catro etapas, catro mensaxes de erro diferentes

Unha conexión L2TP/IPsec atravesa catro etapas, e RFC 3193 describe a disposición que une as dúas primeiras. A negociación IKE é onde un camiño filtrado produce un tempo de espera silencioso. A autenticación IPsec é onde unha discordancia de certificado ou de clave precompartida produce, en cambio, un rexeitamento explícito. A montaxe do túnel L2TP é onde unha asociación de seguridade xa establecida pode non levar a ningures, e o inicio de sesión PPP é onde unha credencial errónea produce por fin un fallo visible. Lea o rexistro da etapa que se detivo, non da última liña que imprimiu.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

O rexistro de strongSwan mostra se o intercambio IKE chegou a unha proposta e se o par respondeu sequera, o que separa a alcanzabilidade da política. O rexistro de xl2tpd retoma onde remata IPsec, así que unha asociación de seguridade establecida sen nada nese rexistro apunta á etapa L2TP. A consulta de ruta confirma que o cliente envía cara ao enderezo de servidor que vostede cre, o que detecta unha resposta DNS obsoleta herdada da rede anterior. Xuntas, as tres saídas nomean unha etapa en lugar dun síntoma.

Compare a profundidade de NAT e o comportamento do axudante

A travesía de NAT traslada o tráfico protexido á encapsulación UDP cando se detecta tradución, de xeito que os números de porto que levan unha sesión funcional poden diferir dos dun diagrama estático. Permitir un só paquete de configuración non demostra nada sobre o resto do intercambio, e unha análise externa de portos non lle pode dicir como trata o par o tráfico autenticado válido. Unha segunda capa de tradución cambia de novo o panorama, porque a asignación existe agora dúas veces e caduca segundo dous calendarios distintos. A tradución de nivel de operador nunha conexión móbil é a razón habitual de que un perfil de oficina que funciona falle nun punto de acceso do teléfono.

Os axudantes do router varían tanto como as redes. Algúns firmwares interceptan e reescriben o intercambio, outros só deixan de descartalo, e outros aplican o axuste unicamente nun modo antigo. Lea a descrición que dá o propio firmware da caixa, e onde exista un modo de compatibilidade, probeo como un cambio deliberado en lugar de tres á vez.

Cliente de saída, servidor de entrada: dous problemas distintos

Un cliente de saída e un servidor de entrada necesitan distinta alcanzabilidade de subida, e unha función de paso que axuda o primeiro non fai nada polo segundo. Un router doméstico que deixa o portátil chegar a unha pasarela remota non acepta por iso conexións de entrada cara a un servidor detrás del. Confundir os dous mándao buscar un reenvío de portos que nunca foi o problema. Indique que papel ten o dispositivo que falla antes de comparar nada.

Tras un cambio admitido, repita a mesma conexión e anote a etapa á que chegou. Garde xuntos o perfil funcional e a nota sobre a rede que falla, e non restableza as credenciais nin reinstale o cliente, porque iso descarta a proba sobre a que se construíu a comparación.