Megöli a második L2TP-kliens az elsőt? Olvassa el a beágyazást

Egy laptop működő alagutat tart fenn az irodai routeren keresztül. Egy második laptop ugyanabban a helyiségben csatlakozik, és az első kiesik. Ha ez a teljes tünet, még mindig három különböző ok van az asztalon, és hogy melyik javítás érvényes, az olyan dolgoktól függ, amelyeket még nem mért meg. A megosztott router releváns, de nem automatikusan bűnös, és a protokoll sem.

Három ok, amely a kanapéról azonosnak látszik

Az első jelölt a router IPsec-kezelése. Az olcsó fogyasztói routerek gyakran hirdetnek átjárást, és egyszerre egy kliensre valósítják meg, mert a mechanizmus egy partnert követ, és nem tud két laptopot szétválasztani ugyanazon nyilvános cím mögött. A tünet pontosan az, amire számítana: az újabb munkamenet nyer.

A második a fiók. Sok VPN-kiszolgáló identitásonként egy munkamenetet engedélyez, és bontja a régebbit, amikor ugyanazok a hitelesítő adatok újra hitelesítődnek, ami az átjárón hozott szabályzatdöntés, és semmi köze a routeréhez. Keresse azt a kifejezett üzenetet a kiszolgáló naplójában, mielőtt hardvert vásárol.

A harmadik egyszerű hibás konfiguráció: két profil mutat ugyanarra az identitásra, az egyik elavult előre megosztott kulccsal vagy olyan tanúsítvánnyal, amelyet az átjáró már nem fogad el. Ez általában sikertelen második kapcsolatként jelenik meg, nem az első kieséseként, tehát a hiba alakja már mond valamit.

Mit küld valójában a L2TP/IPsec a routeren keresztül

Az IKE UDP 500 felett fut. Az adatút az ESP, amely IP 50-es protokoll, és egyáltalán nem hordoz TCP- vagy UDP-portot. Ezért annak a routernek, amely csak a portokat érti, nincs mibe kapaszkodnia, és pontosan ezért létezik az átjárási mechanizmus.

NAT-átjárással az ESP az UDP 4500 belsejébe ágyazódik. Most a routernek van leképezhető forrásportja, és minden laptop a saját fordítását kapja, így az átjáró meg tudja különböztetni a két folyamot. Ez az a mechanizmus, amely egyáltalán lehetővé teszi több kliens működését egy cím mögött.

A különbség akkor számít, amikor egy router funkciólistáját olvassa. Az IPsec-átjárást jelző címke azt mondja, hogy a gyártónak van valamilyen mechanizmusa; nem mondja meg, hogy az támogat-e több klienst, vagy hogyan viselkedik, amikor megérkezik a második.

A strongSwan NAT-átjárásról szóló dokumentációja magát a beágyazást írja le, és ez az a rész, amelyet csomagrögzítésekből ellenőrizhet, nem egy marketingoldalról.

Hogyan tudja meg, melyik ok áll fenn valójában

Végezzen négy megfigyelést, és írjon le minden eredményt. Minden laptop egyedül: működik-e, és mennyi ideig? Mindkettő egyszerre: melyik marad meg? A második laptop telefonos hotspoton: az első talpon marad-e? És az átjárón: a kiszolgáló naplója új munkamenetet mutat, amely egy régit vált fel, vagy azt mutatja, hogy egy kliens egyszerűen elhallgat?

Ezek a válaszok tisztán szétválasztják a jelölteket. A kiszolgáló naplójában megjelenő helyettesítési üzenet az identitásszabályzatra mutat. Az a kliens, amely leáll a forgalom fogadásával, miközben a router új fordítást mutat, a routerre mutat. Két kliens, amelyek egyaránt nem fejezik be az IKE-t, a konfigurációra vagy a hitelesítő adatokra mutatnak.

Végig ugyanazokat a profilokat tartsa meg. A profil cseréje a tesztek között azt jelenti, hogy egyszerre két változót mér, és a következtetés olyan módon lesz hibás, amelyet nagyon nehéz észrevenni.

Rögzítsen a routeren, ha támogatja, vagy az egyik laptopon, miközben a másik csatlakozik. Látni a második kliens csomagjait megjelenni, miközben az elsőéi leállnak, erősebb bizonyíték bármely csatlakozott ikonnál.

Ha a router a korlát

Használja a gyártó dokumentált többklienses konfigurációját, ha létezik, vagy cserélje az eszközt olyanra, amelynek dokumentációja azt mondja, amire szüksége van. Ez egy nem látványos válasz, és ez az egyetlen, amely túlél egy firmware-frissítést.

Ami nem működik, az két azonos bejövő továbbítás hozzáadása két különböző laptophoz. A továbbítás megmondja a routernek, hová küldje a beérkező forgalmat; nem mondja meg, hogy egy csomag a két aktív folyam közül melyikhez tartozik, és a kétértelműség a hiba.

Ha a router nem cserélhető, tegyen egy klienst másik útvonal mögé. A telefonos hotspot rossz állandó megoldás és teljesen jó diagnosztikai megoldás.

Ha az átjáró a korlát

Biztosítson külön identitásokat külön embereknek. Egy közös fiók, amelyet két laptop használ, az az elrendezés, amely ezt a tünetet okozza az egyetlen munkamenetre beállított kiszolgálókon, és semmilyen helyi konfiguráció nem javítja a másik végén hozott döntést.

Kérdezze meg az átjáró tulajdonosát, melyik szabályzat érvényes: fiókonként egy munkamenet, tanúsítványonként egy, vagy semmilyen korlát. Válaszuk dönti el, hogy új hitelesítő adatokra vagy új routerre van szüksége.

Az ellenőrzés az a rész, amelyet az emberek kihagynak. Futtasson hasznos forgalmat mindkét kliensről tovább, mint az az intervallum, amely korábban meghibásodott, mert két sikeres bejelentkezés csak azt bizonyítja, hogy a hitelesítés mindkettőnél egyszer működött.