A második VPN-kliens tönkretette az elsőt: találja meg a közös erőforrást

Tegnap az eredeti kliens működött. Ma az újonnan érkezett kapcsolatot követel, miközben a régebbi profil megáll egy szakaszon, amelyen korábban panasz nélkül átjutott. A hitelesítő adatok ritkán érintettek, és az átjáró általában ártatlan. Az változott meg, hogy két VPN-verem most ugyanazt a kizárólagos erőforrást akarja, és a javítás annak megnevezésétől függ. Járja végig a rétegeket ahelyett, hogy mindkettőt újratelepítené.

Járja végig a négy réteget sorrendben

Egy VPN-terméknek négy erőforrásra van szüksége, amelyek ütközhetnek: egy háttérszolgáltatásra, amely gyakran megtagadja a kétszeri futást, egy rögzített portra, egy virtuális adapterre vagy kernelfilterre, amely az útválasztási táblázat előtt látja a forgalmat, és arra a jogra, hogy az alapértelmezett előtt telepítsen útvonalakat. Ha tudja, melyik engedett, a homályos konfliktus egyetlen, tesztelhető válaszú kérdéssé válik.

Rendelje a tünetet egy réteghez, mielőtt bármihez hozzányúlna. A nem induló kliens a szolgáltatásra mutat; a elinduló, de soha nem tárgyaló a portra; a csatlakozó, miközben a másik minden kapcsolatot elveszít, a szűrőre vagy az alapértelmezett útvonalra. Írja le ezt a hozzárendelést, mert megspórol egy órát, amit az alkalmazások reménykedve történő újratelepítésére szánna.

Kezdje a szolgáltatásnál, amely nem fut kétszer

Windows alatt a vállalati kliens általában több, mint egy alagút, mert a profil mellett szolgáltatást, szűrő-illesztőprogramot és néha hitelesítőadat-szolgáltatót telepít. Jegyezze fel, mely szolgáltatások futnak a változás előtt és újra utána, majd hasonlítsa össze a két listát, ahelyett hogy újraindítaná, amíg valami működik. A szolgáltatások függőségeken keresztül is kizárhatják egymást, ahol az egyik indítása leállítja a másikat, és ugyanez a minta jelenik meg macOS alatt launchd-feladatokkal és egy megosztott démonnal. Az a kliens, amely másodperceken belül elindul és kilép, tulajdonjogról számol be, nem konfigurációról.

Olvassa el a szolgáltatás állapotát és naplóját, mielőtt a profilt olvasná. Az a szolgáltatás, amely ugyanazon percen belül elindult és leállt, az a minta, amit keresni kell, és a saját eseménynaplója megnevezi azt a függőséget, amely kiszorította. Egy profil nem tud megjavítani egy nem futó folyamatot, és a szerkesztésére fordított idő nem a tényleges konfliktusra fordított idő.

Aztán kérdezze meg, kié a port

A port tulajdonjoga a legvilágosabb bizonyíték, amit kaphat, mert a kötési hiba egyenesen megnevezi a konfliktust. Két IKE-implementáció nem tud egyszerre ugyanazon a helyi címen és UDP-porton válaszolni, és az újrapróbálkozások mennyisége ezen nem változtat.

Get-NetUDPEndpoint -LocalPort 500,4500 | Select-Object LocalAddress,LocalPort,OwningProcess
netstat -ano | findstr :500
sudo lsof -nP -iUDP:500
ss -lunp | grep -E ':500|:4500'

Bármelyik sor illik is a platformjához, a kívánt válasz egy folyamat és az a szolgáltatás, amely létrehozta. Ha a hallgató a beépített IKE-szolgáltatás, a második kliens a betolakodó; ha egy szállítói ügynök, akkor a beépített kliens az. Döntse el, melyik indulhat be bejelentkezéskor, és tiltsa le a másik automatikus indítását ahelyett, hogy minden munkamenetben leállítaná.

A szűrő-illesztőprogram az útvonalai alatt ül

A hálózati szűrő-illesztőprogram elfogja az adapter és a protokollverem közötti forgalmat, így átírhatja vagy blokkolhatja a csomagokat, bármit is mond az útválasztási táblázat. Így lesz figyelmen kívül hagyva egy helyesnek látszó útvonal, és ezért állhat egy sikeres ping egy olyan böngésző mellett, amely semmit sem tud betölteni.

A szállítói összetevők adott kapcsolatokhoz is kötődnek. Egy adapterhez kötött örökölt szűrő megakadályozhatja egy egyébként helyes profil kézfogásának befejezését, és ennek az összetevőnek az adapter tulajdonságaitól való leválasztása szűkebb és visszafordíthatóbb, mint a termék teljes eltávolítása. Mivel a kötés kapcsolatonkénti, az adaptereket hasonlítsa össze, ne a teljes vermet.

Döntse el, melyik termék birtokolja az indítást, majd rögzítse

Az együttélés csak akkor reális, ha a két kliens tervezésénél fogva különböző rétegeket foglal el, például egy IPsec-verem egy olyan proxy mellett, amely csak az alkalmazásforgalmat kezeli. Ahol mindkettő ugyanazt a portot, ugyanazt a szűrőréteget vagy az alapértelmezett útvonal közzétételének jogát akarja, továbbra is váltogatni fogják egymást, és minden hiba új hibának fog látszani.

Válassza ki a tulajdonost szándékosan. Az újraindítást túlélő formák közé tartozik a második kliens virtuális gépen belüli futtatása, dedikált hardveren tartása, vagy az egyetlen olyan kliensre való szabványosítás, amely mindkét protokollt beszéli. A vesztes automatikus indításának és szolgáltatásának letiltása kisebb változtatás, mint az útválasztási táblázat újraépítése minden indítás után, és egyetlen beállításszerkesztéssel visszafordítható.