L2TP/IPsec terhubung di satu jaringan dan waktu habis di jaringan lain

Laptop yang sama, profil yang sama, dan kata sandi yang sama berfungsi di satu gedung dan gagal di gedung lain. Perbandingan itu adalah bukti paling berguna dalam tiket, dan biasanya menjadi hal pertama yang dibuang. Antara dua jaringan akses, pertukaran melewati terjemahan alamat yang berbeda, filter yang berbeda, dan helper router yang berbeda. Menjaga klien tetap dan hanya mengganti jaringan adalah cara mengetahui mana yang penting.

Tetapkan klien sebelum membandingkan jaringan

Jangan mengubah apa pun di perangkat sampai Anda memiliki catatan kasus yang berhasil: versi klien, isi profil, nama server, dan waktu koneksi yang berhasil. Lalu reproduksi kegagalan di jaringan kedua selama sesi yang sama, agar status klien sedekat mungkin sama. Profil yang diedit di antara dua percobaan membatalkan seluruh perbandingan. Tujuannya adalah satu variabel, dan variabel itu adalah jaringan.

Konfirmasi dulu akses internet biasa di jaringan yang gagal, termasuk portal tamu jika ada. Portal yang tidak pernah dipenuhi menghasilkan timeout yang terlihat persis seperti terowongan yang difilter, dan pemeriksaan itu memakan waktu satu menit.

Empat tahap, empat pesan kegagalan berbeda

Koneksi L2TP/IPsec melewati empat tahap, dan RFC 3193 menjelaskan susunan yang mengikat dua tahap pertama. Negosiasi IKE adalah tempat jalur yang difilter menghasilkan timeout senyap. Autentikasi IPsec adalah tempat ketidakcocokan sertifikat atau kunci yang dibagikan sebelumnya justru menghasilkan penolakan eksplisit. Penyiapan terowongan L2TP adalah tempat asosiasi keamanan yang sudah terbentuk tetap bisa tidak membawa ke mana-mana, dan masuk PPP adalah tempat kredensial yang salah akhirnya menghasilkan kegagalan yang terlihat. Baca log untuk tahap yang berhenti, bukan baris terakhir yang dicetak.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Log strongSwan menunjukkan apakah pertukaran IKE mencapai proposal dan apakah peer menjawab sama sekali, yang memisahkan keterjangkauan dari kebijakan. Log xl2tpd mengambil alih di tempat IPsec berakhir, jadi asosiasi keamanan yang terbentuk tanpa apa pun di log itu menunjuk ke tahap L2TP. Kueri rute memastikan klien mengirim ke alamat server yang Anda pikirkan, yang menangkap jawaban DNS basi yang diwarisi dari jaringan sebelumnya. Bersama-sama, ketiga keluaran menamai satu tahap, bukan gejala.

Bandingkan kedalaman NAT dan perilaku helper

Traversal NAT memindahkan lalu lintas terlindungi ke enkapsulasi UDP saat terjemahan terdeteksi, sehingga nomor port yang membawa sesi yang berfungsi dapat berbeda dari yang ada di diagram statis. Mengizinkan satu paket penyiapan tidak membuktikan apa pun tentang sisa pertukaran, dan pemindaian port eksternal tidak dapat memberi tahu bagaimana peer memperlakukan lalu lintas terautentikasi yang valid. Lapisan terjemahan kedua mengubah gambaran lagi, karena pemetaan sekarang ada dua kali dan kedaluwarsa menurut dua jadwal berbeda. Terjemahan tingkat operator pada koneksi seluler adalah alasan biasa profil kantor yang berfungsi gagal di hotspot ponsel.

Helper router berbeda sebanyak jaringannya. Beberapa firmware menyadap dan menulis ulang pertukaran, sebagian hanya berhenti membuangnya, dan sebagian hanya menerapkan pengaturan dalam mode lama. Baca deskripsi kotak centang dari firmware itu sendiri, dan jika ada mode kompatibilitas, ujilah sebagai satu perubahan yang disengaja, bukan tiga sekaligus.

Klien keluar, server masuk: dua masalah berbeda

Klien keluar dan server masuk membutuhkan keterjangkauan hulu yang berbeda, dan fitur tembus yang membantu yang pertama tidak melakukan apa pun untuk yang kedua. Router rumah yang memungkinkan laptop mencapai gateway jarak jauh tidak dengan demikian menerima koneksi masuk ke server di belakangnya. Mencampuradukkan keduanya membuat Anda mencari penerusan port yang tidak pernah menjadi masalah. Nyatakan peran perangkat yang gagal sebelum membandingkan apa pun.

Setelah perubahan yang didukung, ulangi koneksi yang sama dan catat tahap yang dicapai. Simpan profil yang berfungsi dan catatan tentang jaringan yang gagal bersama-sama, dan jangan mengatur ulang kredensial atau memasang ulang klien, karena itu membuang bukti yang menjadi dasar perbandingan.