Drugi L2TP klijent ubija prvi? Pročitajte enkapsulaciju

Jedan laptop drži radni tunel kroz uredski ruter. Drugi laptop u istoj sobi se povezuje i prvi pada. Ako je to cijeli simptom, tri različita uzroka još su na stolu, a koji popravak vrijedi ovisi o stvarima koje još niste izmjerili. Dijeljeni ruter je relevantan, ali nije automatski kriv, a ni protokol.

Tri uzroka koji s kauča izgledaju isto

Prvi kandidat je rukovanje IPsec prometom na ruteru. Jeftini potrošački ruteri često reklamiraju propuštanje i provode ga za jednog klijenta odjednom, jer mehanizam prati jednog partnera i ne može razdvojiti dva laptopa iza iste javne adrese. Simptom je točno onakav kakav biste očekivali: novija sesija pobjeđuje.

Drugi je račun. Mnogi VPN poslužitelji dopuštaju jednu sesiju po identitetu i prekidaju stariju kada se isti podaci za prijavu ponovno autentificiraju, što je odluka o pravilima na pristupniku i nema nikakve veze s vašim ruterom. Potražite tu izričitu poruku u zapisniku poslužitelja prije nego kupite opremu.

Treći je obična pogrešna konfiguracija: dva profila upućuju na isti identitet, jedan od njih sa zastarjelim unaprijed dijeljenim ključem ili certifikatom koji pristupnik više ne prihvaća. To se obično pokazuje kao neuspješna druga veza, a ne kao prekinuta prva, pa vam oblik kvara već nešto govori.

Što L2TP/IPsec zapravo šalje kroz ruter

IKE radi preko UDP 500. Put podataka je ESP, to je IP protokol 50 i uopće ne nosi TCP ni UDP portove. Ruter koji razumije samo portove zato nema za što zakačiti, i upravo zato postoji mehanizam propuštanja.

S NAT prolazom ESP se enkapsulira unutar UDP 4500. Sada ruter ima izvorni port za mapiranje i svaki laptop dobiva svoj prijevod, pa pristupnik može razlikovati dva toka. To je mehanizam koji uopće omogućuje rad više klijenata iza jedne adrese.

Razlika je važna kada čitate popis značajki rutera. Oznaka koja kaže IPsec propuštanje govori vam da proizvođač ima neki mehanizam; ne govori vam podržava li taj mehanizam nekoliko klijenata ili kako se ponaša kada stigne drugi.

strongSwanova dokumentacija o NAT prolazu opisuje samu enkapsulaciju, a to je dio koji možete provjeriti iz snimki paketa, a ne s marketinške stranice.

Kako znati koji uzrok stvarno imate

Provedite četiri promatranja i zapišite svaki rezultat. Svaki laptop sam: radi li i koliko dugo? Oba istodobno: koji preživljava? Drugi laptop na mobilnoj pristupnoj točki: ostaje li prvi? I na pristupniku: pokazuje li zapisnik poslužitelja novu sesiju koja zamjenjuje staru ili pokazuje jednog klijenta koji jednostavno utihne?

Ti odgovori čisto razdvajaju kandidate. Poruka o zamjeni u zapisniku poslužitelja upućuje na pravila o identitetu. Klijent koji prestane primati promet dok ruter pokazuje novi prijevod upućuje na ruter. Dva klijenta koja oba ne uspiju dovršiti IKE upućuju na konfiguraciju ili podatke za prijavu.

Držite iste profile cijelo vrijeme. Mijenjanje profila između testova znači da mjerite dvije varijable odjednom, a zaključak će biti pogrešan na način koji je vrlo teško primijetiti.

Snimite na ruteru ako to podržava, ili na jednom laptopu dok se drugi povezuje. Vidjeti pakete drugog klijenta kako se pojavljuju dok paketi prvog prestaju jači je dokaz od bilo koje ikone veze.

Ako je ruter ograničenje

Upotrijebite proizvođačevu dokumentiranu konfiguraciju za više klijenata ako postoji, ili zamijenite uređaj onim čija dokumentacija kaže što vam treba. To je neugledan odgovor i jedini koji preživi ažuriranje firmvera.

Ono što ne radi jest dodavanje dva identična ulazna prosljeđivanja prema dvama različitim laptopima. Prosljeđivanje govori ruteru kamo poslati dolazni promet; ne govori mu kojem od dvaju aktivnih tokova paket pripada, a dvosmislenost je greška.

Ako se ruter ne može zamijeniti, stavite jedan klijent iza drugog puta. Mobilna pristupna točka loše je stalno rješenje i posve dobro dijagnostičko.

Ako je pristupnik ograničenje

Osigurajte odvojene identitete za odvojene ljude. Jedan zajednički račun koji koriste dva laptopa raspored je koji stvara ovaj simptom na poslužiteljima postavljenima za jednu sesiju, i nikakva lokalna konfiguracija ne ispravlja odluku donesenu na drugom kraju.

Pitajte vlasnika pristupnika koje pravilo vrijedi: jedna sesija po računu, jedna po certifikatu ili nikakvo ograničenje. Njihov odgovor odlučuje trebaju li vam novi podaci za prijavu ili novi ruter.

Provjera je dio koji ljudi preskaču. Pustite koristan promet s oba klijenta dulje od intervala koji je prije padao, jer dvije uspješne prijave dokazuju samo da je autentifikacija uspjela po jednom.