L2TP/IPsec מתחבר ברשת אחת ונגמר לו הזמן ברשת אחרת

אותו מחשב נייד, אותו פרופיל ואותה סיסמה עובדים בבניין אחד ונכשלים באחר. ההשוואה הזו היא הראיה השימושית ביותר בכרטיס, והיא בדרך כלל הדבר הראשון שנזרק. בין שתי רשתות גישה עוברת ההחלפה דרך תרגום כתובות אחר, מסננים אחרים ועוזרי נתב אחרים. להשאיר את הלקוח קבוע ולהחליף רק את הרשת זו הדרך לגלות מה מזה חשוב.

קבעו את הלקוח לפני השוואת רשתות

אל תשנו דבר במכשיר עד שתהיה לכם רשומה של המקרה העובד: גרסת הלקוח, תוכן הפרופיל, שם השרת ומועד החיבור המוצלח. אחר כך שחזרו את הכשל ברשת השנייה באותו מושב, כדי שמצב הלקוח יהיה זהה ככל האפשר. פרופיל שנערך בין שני הניסיונות מבטל את כל ההשוואה. המטרה היא משתנה אחד, והמשתנה הזה הוא הרשת.

אשרו קודם גישה רגילה לאינטרנט ברשת הכושלת, כולל פורטל אורחים אם יש כזה. פורטל שמעולם לא מולא מייצר פסק זמן שנראה בדיוק כמו מנהרה מסוננת, והבדיקה הזו אורכת דקה.

ארבעה שלבים, ארבע הודעות שגיאה שונות

חיבור L2TP/IPsec עובר ארבעה שלבים, ו-RFC 3193 מתאר את הסידור שקושר את שני הראשונים. משא ומתן IKE הוא המקום שבו נתיב מסונן מייצר פסק זמן שקט. אימות IPsec הוא המקום שבו אי-התאמה בתעודה או במפתח משותף מראש מייצרת במקום זאת דחייה מפורשת. הקמת מנהרת L2TP היא המקום שבו התאחדות אבטחה שכבר הוקמה עדיין עלולה לא להוביל לשום מקום, וכניסת PPP היא המקום שבו הרשאה שגויה מייצרת סוף סוף כשל גלוי. קראו את היומן של השלב שנעצר, לא של השורה האחרונה שהודפסה.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

היומן של strongSwan מראה אם החלפת IKE הגיעה להצעה ואם הצד השני ענה בכלל, מה שמפריד בין נגישות למדיניות. היומן של xl2tpd ממשיך במקום שבו IPsec נגמר, ולכן התאחדות אבטחה שהוקמה בלי שום דבר ביומן הזה מצביעה על שלב L2TP. שאילתת המסלול מאשרת שהלקוח שולח לכתובת השרת שאתם חושבים, וזה תופס תשובת DNS מיושנת שעוברת בירושה מהרשת הקודמת. יחד, שלושת הפלטים נוקבים בשלב ולא בתסמין.

השוו את עומק ה-NAT ואת התנהגות העוזר

מעבר NAT מעביר תעבורה מוגנת לכימוס UDP כשמזוהה תרגום, ולכן מספרי הפורט שנושאים מושב עובד עשויים להיות שונים מאלה שבשרטוט סטטי. לאשר חבילת הגדרה אחת לא מוכיח דבר על שאר ההחלפה, וסריקת פורטים חיצונית לא יכולה לומר לכם כיצד הצד השני מתייחס לתעבורה מאומתת תקפה. שכבה שנייה של תרגום משנה שוב את התמונה, כי המיפוי קיים כעת פעמיים ופג לפי שני לוחות זמנים שונים. תרגום ברמת ספק בתקשורת סלולרית הוא הסיבה הרגילה לכך שפרופיל משרד עובד נכשל בנקודת גישה של טלפון.

עוזרי הנתב משתנים כמו הרשתות. חלק מקושחות הקושחה מיירטות ומשכתבות את ההחלפה, אחרות רק מפסיקות להפיל אותה, ואחרות מחילות את ההגדרה רק במצב ישן. קראו את התיאור של הקושחה עצמה לגבי תיבת הסימון, וכשיש מצב תאימות, בדקו אותו כשינוי מכוון אחד ולא שלושה בבת אחת.

לקוח יוצא, שרת נכנס: שתי בעיות שונות

לקוח יוצא ושרת נכנס זקוקים לנגישות שונה במעלה הזרם, ותכונת מעבר שעוזרת לראשון לא עושה דבר לשני. נתב ביתי שמאפשר למחשב הנייד להגיע לשער מרוחק לא מקבל מכך חיבורים נכנסים לשרת שמאחוריו. ערבוב בין השניים שולח אתכם לחפש העברת פורטים שמעולם לא הייתה הבעיה. ציינו איזה תפקיד ממלא המכשיר הכושל לפני שאתם משווים משהו.

אחרי שינוי נתמך, חזרו על אותו חיבור ורשמו את השלב שאליו הגיע. שמרו יחד את הפרופיל העובד ואת ההערה על הרשת הכושלת, ואל תאפסו הרשאות ואל תתקינו מחדש את הלקוח, כי זה זורק את הראיה שההשוואה נבנתה עליה.