क्या दूसरा L2TP क्लाइंट पहले को मार देता है? एनकैप्सुलेशन पढ़ें
एक काम करता VPN शून्य हो जाता है जब दूसरा लैपटॉप जुड़ता है। प्रोटोकॉल नहीं, बल्कि ESP बनाम UDP एनकैप्सुलेशन, NAT पोर्ट मैपिंग और डुप्लिकेट पहचान जांचें।
एक लैपटॉप ऑफिस राउटर के ज़रिए एक काम करता टनल बनाए रखता है। उसी कमरे में दूसरा लैपटॉप जुड़ता है, और पहला गिर जाता है। अगर पूरा लक्षण यही है, तो भी तीन अलग कारण मेज़ पर हैं, और कौन-सा सुधार लागू होगा यह उन बातों पर निर्भर है जो आपने अभी नापी नहीं हैं। साझा राउटर प्रासंगिक है, लेकिन वह अपने आप दोषी नहीं है, और प्रोटोकॉल भी नहीं।
तीन कारण जो सोफ़े से एक जैसे दिखते हैं
पहला उम्मीदवार राउटर का IPsec के साथ व्यवहार है। सस्ते उपभोक्ता राउटर अक्सर पास-थ्रू का विज्ञापन करते हैं और इसे एक बार में एक ही क्लाइंट के लिए लागू करते हैं, क्योंकि तंत्र एक साथी को ट्रैक करता है और एक ही सार्वजनिक पते के पीछे दो लैपटॉप अलग नहीं कर सकता। लक्षण ठीक वही है जिसकी आप अपेक्षा करेंगे: नया सत्र जीतता है।
दूसरा खाता है। कई VPN सर्वर प्रति पहचान एक सत्र की अनुमति देते हैं और वही क्रेडेंशियल दोबारा प्रमाणित होने पर पुराना काट देते हैं, जो गेटवे पर नीति का फ़ैसला है और आपके राउटर से इसका कोई संबंध नहीं। हार्डवेयर खरीदने से पहले सर्वर लॉग में वह स्पष्ट संदेश खोजें।
तीसरा सीधा-सादा गलत कॉन्फ़िगरेशन है: दो प्रोफ़ाइल एक ही पहचान की ओर इशारा करते हैं, उनमें से एक पुरानी पूर्व-साझित कुंजी या ऐसे प्रमाणपत्र के साथ जिसे गेटवे अब स्वीकार नहीं करता। वह आमतौर पर पहले के गिरने के बजाय दूसरे कनेक्शन की विफलता के रूप में दिखता है, इसलिए विफलता का आकार पहले ही आपको कुछ बता रहा है।
L2TP/IPsec असल में राउटर से क्या भेजता है
IKE UDP 500 पर चलता है। डेटा पथ ESP है, जो IP प्रोटोकॉल 50 है और कोई TCP या UDP पोर्ट ही नहीं ढोता। इसलिए जो राउटर केवल पोर्ट समझता है उसके पास पकड़ने को कुछ नहीं है, और ठीक इसीलिए पास-थ्रू तंत्र मौजूद है।
NAT ट्रैवर्सल के साथ ESP को UDP 4500 के भीतर एनकैप्सुलेट किया जाता है। अब राउटर के पास मैप करने के लिए स्रोत पोर्ट है, और हर लैपटॉप को अपना अनुवाद मिलता है, इसलिए गेटवे दो प्रवाह अलग पहचान सकता है। यही वह तंत्र है जो एक पते के पीछे कई क्लाइंट को संभव बनाता है।
यह अंतर तब मायने रखता है जब आप राउटर की विशेषता सूची पढ़ते हैं। IPsec पास-थ्रू कहने वाला लेबल आपको बताता है कि विक्रेता के पास कोई तंत्र है; यह नहीं बताता कि वह तंत्र कई क्लाइंट का समर्थन करता है या दूसरा आने पर कैसा व्यवहार करता है।
strongSwan का NAT ट्रैवर्सल दस्तावेज़ एनकैप्सुलेशन का ही वर्णन करता है, और यही वह हिस्सा है जिसे आप पैकेट कैप्चर से सत्यापित कर सकते हैं, मार्केटिंग पृष्ठ से नहीं।
कैसे पता करें कि असल में कौन-सा कारण है
चार अवलोकन करें और हर परिणाम लिख लें। हर लैपटॉप अकेला: काम करता है या नहीं, और कितनी देर? दोनों साथ: कौन टिकता है? दूसरा लैपटॉप फ़ोन हॉटस्पॉट पर: क्या पहला बना रहता है? और गेटवे पर: सर्वर लॉग नया सत्र पुराने को बदलता दिखाता है, या एक क्लाइंट के बस चुप हो जाने को?
वे उत्तर उम्मीदवारों को साफ़ अलग करते हैं। सर्वर लॉग में बदलने का संदेश पहचान नीति की ओर इशारा करता है। ऐसा क्लाइंट जो ट्रैफ़िक लेना बंद कर देता है जबकि राउटर नया अनुवाद दिखाता है, राउटर की ओर इशारा करता है। दो क्लाइंट जो दोनों IKE पूरा नहीं कर पाते, कॉन्फ़िगरेशन या क्रेडेंशियल की ओर इशारा करते हैं।
पूरे समय वही प्रोफ़ाइल रखें। परीक्षणों के बीच प्रोफ़ाइल बदलने का मतलब है कि आप एक साथ दो चर नाप रहे हैं, और निष्कर्ष ऐसे गलत होगा जिसे नोटिस करना बहुत मुश्किल है।
अगर राउटर समर्थन करता है तो उसी पर कैप्चर करें, या एक लैपटॉप पर जबकि दूसरा जुड़ रहा हो। दूसरे क्लाइंट के पैकेट आते देखना जबकि पहले के रुक रहे हों, किसी भी कनेक्टेड आइकन से मज़बूत सबूत है।
अगर राउटर ही सीमा है
अगर विक्रेता का प्रलेखित मल्टी-क्लाइंट कॉन्फ़िगरेशन मौजूद है तो उसका उपयोग करें, या डिवाइस को ऐसे से बदलें जिसका दस्तावेज़ बताता हो कि आपको क्या चाहिए। यह बेरौनक जवाब है और फ़र्मवेयर अपडेट के बाद टिकने वाला इकलौता जवाब।
जो काम नहीं करता वह है दो अलग लैपटॉप की ओर दो समान इनबाउंड फ़ॉरवर्ड जोड़ना। फ़ॉरवर्ड राउटर को बताता है कि आने वाला ट्रैफ़िक कहाँ भेजना है; यह नहीं बताता कि पैकेट दो सक्रिय प्रवाहों में से किसका है, और यही अस्पष्टता बग है।
अगर राउटर बदला नहीं जा सकता, तो एक क्लाइंट को दूसरे रास्ते के पीछे रखें। फ़ोन हॉटस्पॉट खराब स्थायी समाधान है और पूरी तरह अच्छा निदान समाधान।
अगर गेटवे ही सीमा है
अलग लोगों के लिए अलग पहचान दें। दो लैपटॉप द्वारा इस्तेमाल किया गया एक साझा खाता वही व्यवस्था है जो एकल सत्र के लिए कॉन्फ़िगर किए गए सर्वरों पर यह लक्षण पैदा करती है, और कोई स्थानीय कॉन्फ़िगरेशन दूसरे छोर पर लिए गए फ़ैसले को ठीक नहीं करता।
गेटवे के मालिक से पूछें कि कौन-सी नीति लागू है: प्रति खाता एक सत्र, प्रति प्रमाणपत्र एक, या कोई सीमा नहीं। उनका जवाब तय करता है कि आपको नए क्रेडेंशियल चाहिए या नया राउटर।
सत्यापन वह हिस्सा है जिसे लोग छोड़ देते हैं। दोनों क्लाइंट से उपयोगी ट्रैफ़िक उस अंतराल से ज़्यादा देर चलाएँ जो पहले विफल होता था, क्योंकि दो सफल लॉगिन केवल यह साबित करते हैं कि प्रमाणीकरण हर बार एक बार काम कर गया।