O segundo cliente L2TP mata o primeiro? Lea a encapsulación

Un portátil mantén un túnel funcional a través do router da oficina. Un segundo portátil na mesma sala conéctase e o primeiro cae. Se ese é todo o síntoma, aínda hai tres causas distintas sobre a mesa, e cal corrección se aplica depende de cousas que aínda non mediu. O router compartido é relevante, pero non é culpable automaticamente, e o protocolo tampouco.

Tres causas que desde o sofá parecen idénticas

O primeiro candidato é o tratamento do router con IPsec. Os routers de consumo baratos adoitan anunciar paso directo e implémentano para un só cliente á vez, porque o mecanismo segue un único par e non pode separar dous portátiles detrás do mesmo enderezo público. O síntoma é exactamente o que esperaría: gaña a sesión máis nova.

A segunda é a conta. Moitos servidores VPN permiten unha sesión por identidade e desconectan a máis antiga cando as mesmas credenciais se autentican de novo, o que é unha decisión de política na pasarela e non ten nada que ver co seu router. Busque esa mensaxe explícita no rexistro do servidor antes de comprar hardware.

A terceira é unha simple mala configuración: dous perfís que apuntan á mesma identidade, un deles cunha clave precompartida obsoleta ou un certificado que a pasarela xa non acepta. Normalmente maniféstase como unha segunda conexión fallida en lugar dunha primeira caída, así que a forma do fallo xa lle di algo.

Que envía realmente L2TP/IPsec a través do router

IKE funciona sobre UDP 500. A ruta de datos é ESP, que é o protocolo IP 50 e non leva ningún porto TCP nin UDP. Por iso un router que só entende portos non ten en que fixarse, e é exactamente por iso que existe o mecanismo de paso directo.

Coa travesía NAT, ESP encapsúlase dentro de UDP 4500. Agora o router ten un porto de orixe que asignar, e cada portátil obtén a súa propia tradución, de modo que a pasarela pode distinguir dous fluxos. Ese é o mecanismo que fai posible que varios clientes detrás dun enderezo funcionen.

A distinción importa cando le a lista de funcións dun router. Unha etiqueta que di paso directo IPsec dille que o fabricante ten algún mecanismo; non lle di se ese mecanismo admite varios clientes nin como se comporta cando chega o segundo.

A documentación de strongSwan sobre a travesía NAT describe a encapsulación mesma, que é a parte que pode verificar con capturas de paquetes en lugar dunha páxina de márketing.

Como saber que causa ten realmente

Faga catro observacións e anote cada resultado. Cada portátil só: funciona, e durante canto tempo? Ambos á vez: cal sobrevive? O segundo portátil nun punto de acceso do teléfono: o primeiro mantense? E na pasarela: o rexistro do servidor mostra unha sesión nova que substitúe unha antiga, ou mostra un cliente que simplemente cala?

Eses respostas separan os candidatos con claridade. Unha mensaxe de substitución no rexistro do servidor apunta á política de identidade. Un cliente que deixa de recibir tráfico mentres o router mostra unha tradución nova apunta ao router. Dous clientes que ambos non completan IKE apuntan á configuración ou ás credenciais.

Manteña os mesmos perfís en todo momento. Cambiar o perfil entre probas significa que mide dúas variables á vez, e a conclusión será errónea dunha maneira moi difícil de notar.

Capture no router se o admite, ou nun portátil mentres o outro se conecta. Ver aparecer os paquetes do segundo cliente mentres se deteñen os do primeiro é unha evidencia máis sólida que calquera icona de conectado.

Se o router é a limitación

Utilice a configuración multicliente documentada do fabricante se existe, ou substitúa o dispositivo por un cuxa documentación diga o que necesita. Ese é unha resposta pouco glamorosa e é a única que sobrevive a unha actualización de firmware.

O que non funciona é engadir dous redireccionamentos de entrada idénticos cara a dous portátiles distintos. Un redireccionamento di ao router onde enviar o tráfico entrante; non lle di a cal de dous fluxos activos pertence un paquete, e a ambigüidade é o erro.

Se o router non se pode substituír, poña un cliente detrás dunha ruta distinta. Un punto de acceso do teléfono é unha mala solución permanente e unha solución de diagnóstico perfectamente boa.

Se a pasarela é a limitación

Proporcione identidades separadas para persoas separadas. Unha conta compartida usada por dous portátiles é a disposición que produce este síntoma en servidores configurados para unha soa sesión, e ningunha configuración local arranxa unha decisión tomada no outro extremo.

Pregunte ao propietario da pasarela que política se aplica: unha sesión por conta, unha por certificado, ou ningún límite. A súa resposta decide se necesita credenciais novas ou un router novo.

A verificación é a parte que a xente salta. Pase tráfico útil desde ambos clientes durante máis tempo que o intervalo que antes fallaba, porque dous inicios de sesión correctos só proban que a autenticación funcionou unha vez en cada caso.