Drugi VPN klijent pokvario je prvi: pronađite zajednički resurs

Jučer je izvorni klijent radio. Danas novi traži vezu dok stariji profil staje na koraku koji je prije prolazio bez pritužbe. Vjerodajnice su rijetko uključene, a pristupnik je obično nedužan. Promijenilo se to što dva VPN stoga sada žele isti isključivi resurs, a popravak ovisi o tome da ga imenujete. Prođite slojeve umjesto da reinstalirate oba.

Prođite četiri sloja po redu

VPN proizvodu trebaju četiri resursa koji se mogu sukobiti: pozadinska usluga koja često odbija raditi dvaput, fiksni port, virtualni adapter ili jezgreni filtar koji vidi promet prije tablice usmjeravanja, i pravo na instaliranje ruta ispred zadane. Znati koji je popustio pretvara nejasan sukob u jedno pitanje s provjerljivim odgovorom.

Povežite simptom sa slojem prije nego što bilo što dotaknete. Klijent koji se ne pokreće upućuje na uslugu; onaj koji se pokrene i nikad ne pregovara upućuje na port; onaj koji se poveže dok drugi gubi svu povezanost upućuje na filtar ili na zadanu rutu. Zapišite to povezivanje jer štedi sat reinstaliranja aplikacija u nadi.

Počnite od usluge koja ne želi raditi dvaput

Na Windowsu je korporativni klijent obično više od tunela jer uz profil instalira uslugu, filtarski upravljački program i ponekad pružatelja vjerodajnica. Zabilježite koje su usluge radile prije promjene i ponovno poslije nje, pa usporedite dva popisa umjesto da ponovno pokrećete sustav dok nešto ne proradi. Usluge se mogu i međusobno isključivati kroz ovisnosti, gdje pokretanje jedne zaustavlja drugu, a isti se uzorak pojavljuje na macOS-u s launchd poslovima i zajedničkim daemonom. Klijent koji se pokrene i izađe u roku od nekoliko sekundi izvještava o vlasništvu, a ne o konfiguraciji.

Pročitajte stanje usluge i njezin dnevnik prije nego pročitate profil. Usluga koja se pokrenula i zaustavila unutar iste minute uzorak je koji treba tražiti, a njezin vlastiti dnevnik događaja imenuje ovisnost koja ju je potisnula. Profil ne može popraviti proces koji ne radi, a vrijeme potrošeno na njegovo uređivanje vrijeme je koje nije potrošeno na stvarni sukob.

Zatim pitajte kome pripada port

Vlasništvo nad portom najjasniji je dokaz koji ćete dobiti jer neuspjeh povezivanja izravno imenuje sukob. Dvije IKE implementacije ne mogu obje odgovarati na istoj lokalnoj adresi i UDP portu, i nikakvo ponavljanje to ne mijenja.

Get-NetUDPEndpoint -LocalPort 500,4500 | Select-Object LocalAddress,LocalPort,OwningProcess
netstat -ano | findstr :500
sudo lsof -nP -iUDP:500
ss -lunp | grep -E ':500|:4500'

Koji god redak odgovara vašoj platformi, odgovor koji želite je proces i usluga koja ga je stvorila. Ako je slušatelj ugrađena IKE usluga, drugi je klijent uljez; ako je riječ o agentu dobavljača, ugrađeni je klijent uljez. Odlučite koji se smije pokretati pri prijavi i onemogućite automatsko pokretanje onoga drugoga umjesto da ga ubijate svaku sesiju.

Filtarski upravljački program nalazi se ispod vaših ruta

Mrežni filtarski upravljački program presreće promet između adaptera i protokolnog stoga, pa može prepisivati ili blokirati pakete bez obzira na to što kaže tablica usmjeravanja. Tako se ruta koja izgleda ispravno ignorira i zato uspješan ping može stajati uz preglednik koji ne može učitati ništa.

Komponente dobavljača također se vežu na određene veze. Naslijeđeni filtar vezan uz jedan adapter može spriječiti inače ispravan profil da dovrši svoje rukovanje, a odvezivanje te komponente od svojstava adaptera uže je i reverzibilnije od potpunog uklanjanja proizvoda. Budući da je vezanje po vezi, uspoređujte adaptere, a ne cijeli stog.

Odlučite koji proizvod posjeduje podizanje sustava, pa to zabilježite

Suživot je realan samo kad dva klijenta po dizajnu zauzimaju različite slojeve, poput IPsec stoga uz proxy koji sam obrađuje promet aplikacija. Gdje oba žele isti port, isti filtarski sloj ili pravo objavljivanja zadane rute, stalno će se izmjenjivati i svaki će kvar izgledati kao nova greška.

Odaberite vlasnika namjerno. Oblici koji preživljavaju ponovno pokretanje uključuju pokretanje drugog klijenta unutar virtualnog stroja, njegovo držanje na namjenskom hardveru ili standardizaciju na jednom klijentu koji govori oba protokola. Onemogućavanje automatskog pokretanja i usluge gubitnika manja je promjena od ponovne izgradnje tablice usmjeravanja nakon svakog pokretanja i poništava se jednim uređivanjem postavki.