Apakah klien L2TP kedua membunuh yang pertama? Baca enkapsulasinya

Satu laptop mempertahankan terowongan yang berfungsi melalui router kantor. Laptop kedua di ruangan yang sama terhubung, dan yang pertama putus. Jika itu seluruh gejalanya, tiga penyebab berbeda masih ada di meja, dan perbaikan mana yang berlaku bergantung pada hal-hal yang belum Anda ukur. Router bersama itu relevan, tetapi tidak otomatis bersalah, dan protokolnya juga tidak.

Tiga penyebab yang terlihat identik dari sofa

Kandidat pertama adalah penanganan IPsec oleh router. Router konsumen murah sering mengiklankan pass-through dan menerapkannya untuk satu klien pada satu waktu, karena mekanismenya melacak satu peer dan tidak dapat memisahkan dua laptop di balik alamat publik yang sama. Gejalanya persis seperti yang Anda duga: sesi yang lebih baru menang.

Yang kedua adalah akun. Banyak server VPN mengizinkan satu sesi per identitas dan memutus yang lebih lama ketika kredensial yang sama diautentikasi lagi, yang merupakan keputusan kebijakan di gateway dan tidak ada hubungannya dengan router Anda. Cari pesan eksplisit itu di log server sebelum membeli perangkat keras.

Yang ketiga adalah salah konfigurasi biasa: dua profil menunjuk ke identitas yang sama, salah satunya dengan kunci yang dibagikan sebelumnya yang usang atau sertifikat yang tidak lagi diterima gateway. Yang itu biasanya muncul sebagai koneksi kedua yang gagal alih-alih koneksi pertama yang putus, jadi bentuk kegagalannya sudah memberi tahu Anda sesuatu.

Apa yang sebenarnya dikirim L2TP/IPsec melalui router

IKE berjalan di atas UDP 500. Jalur data adalah ESP, yaitu protokol IP 50 dan tidak membawa port TCP atau UDP sama sekali. Karena itu router yang hanya memahami port tidak punya pegangan, dan itulah tepatnya alasan mekanisme pass-through ada.

Dengan NAT traversal, ESP dienkapsulasi di dalam UDP 4500. Sekarang router punya port sumber untuk dipetakan, dan setiap laptop mendapat terjemahannya sendiri, sehingga gateway dapat membedakan dua aliran. Inilah mekanisme yang memungkinkan beberapa klien di balik satu alamat bekerja sama sekali.

Perbedaan itu penting ketika Anda membaca daftar fitur router. Label yang menyebut pass-through IPsec memberi tahu Anda bahwa vendor punya semacam mekanisme; itu tidak memberi tahu apakah mekanisme tersebut mendukung beberapa klien atau bagaimana perilakunya saat yang kedua datang.

Dokumentasi strongSwan tentang NAT traversal menjelaskan enkapsulasinya sendiri, dan itulah bagian yang dapat Anda verifikasi dari tangkapan paket alih-alih dari halaman pemasaran.

Cara mengetahui penyebab mana yang sebenarnya Anda hadapi

Lakukan empat pengamatan dan catat setiap hasilnya. Setiap laptop sendirian: apakah berfungsi, dan berapa lama? Keduanya sekaligus: mana yang bertahan? Laptop kedua di hotspot ponsel: apakah yang pertama tetap hidup? Dan di gateway: apakah log server menunjukkan sesi baru yang menggantikan yang lama, atau menunjukkan satu klien yang sekadar membisu?

Jawaban itu memisahkan kandidat dengan bersih. Pesan penggantian di log server menunjuk ke kebijakan identitas. Klien yang berhenti menerima lalu lintas sementara router menunjukkan terjemahan baru menunjuk ke router. Dua klien yang keduanya gagal menyelesaikan IKE menunjuk ke konfigurasi atau kredensial.

Pertahankan profil yang sama sepanjang waktu. Mengubah profil di antara pengujian berarti Anda mengukur dua variabel sekaligus, dan kesimpulannya akan salah dengan cara yang sangat sulit disadari.

Rekam di router jika mendukungnya, atau di satu laptop saat yang lain terhubung. Melihat paket klien kedua muncul sementara paket klien pertama berhenti adalah bukti yang lebih kuat daripada ikon terhubung mana pun.

Jika router adalah kendalanya

Gunakan konfigurasi multi-klien yang didokumentasikan vendor jika ada, atau ganti perangkat dengan yang dokumentasinya menyebutkan apa yang Anda butuhkan. Itu jawaban yang tidak glamor dan satu-satunya yang bertahan dari pembaruan firmware.

Yang tidak berfungsi adalah menambahkan dua penerusan masuk yang identik ke dua laptop berbeda. Penerusan memberi tahu router ke mana mengirim lalu lintas yang datang; itu tidak memberi tahu paket itu milik aliran mana dari dua aliran aktif, dan ambiguitas itulah bugnya.

Jika router tidak dapat diganti, letakkan satu klien di balik jalur yang berbeda. Hotspot ponsel adalah solusi permanen yang buruk dan solusi diagnostik yang sangat baik.

Jika gateway adalah kendalanya

Sediakan identitas terpisah untuk orang yang terpisah. Satu akun bersama yang dipakai dua laptop adalah susunan yang menghasilkan gejala ini pada server yang dikonfigurasi untuk satu sesi, dan tidak ada konfigurasi lokal yang memperbaiki keputusan yang dibuat di ujung jauh.

Tanyakan kepada pemilik gateway kebijakan mana yang berlaku: satu sesi per akun, satu per sertifikat, atau tanpa batas sama sekali. Jawaban mereka menentukan apakah Anda perlu kredensial baru atau router baru.

Verifikasi adalah bagian yang dilewati orang. Jalankan lalu lintas berguna dari kedua klien lebih lama daripada interval yang dulu gagal, karena dua login yang berhasil hanya membuktikan bahwa autentikasi berhasil sekali pada masing-masing.