Klien VPN kedua merusak yang pertama: temukan sumber daya bersama

Kemarin klien asli berfungsi. Hari ini pendatang baru menuntut koneksi sementara profil lama berhenti di tahap yang dulu dilewatinya tanpa keluhan. Kredensial jarang terlibat, dan gateway biasanya tidak bersalah. Yang berubah adalah dua tumpukan VPN kini menginginkan sumber daya eksklusif yang sama, dan perbaikannya bergantung pada penamaannya. Telusuri lapisannya alih-alih memasang ulang keduanya.

Telusuri keempat lapisan secara berurutan

Produk VPN membutuhkan empat sumber daya yang bisa bertabrakan: layanan latar belakang yang sering menolak berjalan dua kali, port tetap, adaptor virtual atau filter kernel yang melihat lalu lintas sebelum tabel perutean, dan hak memasang rute di depan rute default. Mengetahui mana yang mengalah mengubah konflik samar menjadi satu pertanyaan dengan jawaban yang bisa diuji.

Petakan gejala ke lapisan sebelum menyentuh apa pun. Klien yang tidak mau mulai menunjuk layanan; yang mulai tetapi tidak pernah bernegosiasi menunjuk port; yang terhubung sementara yang lain kehilangan semua konektivitas menunjuk filter atau rute default. Tuliskan pemetaan itu, karena menghemat satu jam memasang ulang aplikasi dengan harapan.

Mulailah dari layanan yang tidak mau berjalan dua kali

Di Windows klien korporat biasanya lebih dari sekadar terowongan, karena ia memasang layanan, driver filter, dan kadang penyedia kredensial bersama profil. Catat layanan mana yang berjalan sebelum perubahan dan lagi sesudahnya, lalu bandingkan kedua daftar alih-alih memulai ulang sampai ada yang berfungsi. Layanan juga dapat saling mengecualikan lewat dependensi, di mana memulai satu menghentikan yang lain, dan pola yang sama muncul di macOS dengan tugas launchd dan daemon bersama. Klien yang mulai dan keluar dalam hitungan detik melaporkan kepemilikan, bukan konfigurasi.

Baca status layanan dan lognya sebelum membaca profil. Layanan yang mulai dan berhenti dalam menit yang sama adalah pola yang dicari, dan log peristiwanya sendiri menyebutkan dependensi yang menggesernya. Profil tidak dapat memperbaiki proses yang tidak berjalan, dan waktu untuk menyuntingnya adalah waktu yang tidak dipakai untuk konflik sebenarnya.

Lalu tanyakan siapa yang memiliki port

Kepemilikan port adalah bukti paling jelas yang akan Anda dapatkan, karena kegagalan pengikatan menyebutkan konfliknya secara langsung. Dua implementasi IKE tidak dapat keduanya menjawab pada alamat lokal dan port UDP yang sama, dan berapa kali pun diulang hal itu tidak berubah.

Get-NetUDPEndpoint -LocalPort 500,4500 | Select-Object LocalAddress,LocalPort,OwningProcess
netstat -ano | findstr :500
sudo lsof -nP -iUDP:500
ss -lunp | grep -E ':500|:4500'

Baris mana pun yang cocok dengan platform Anda, jawaban yang Anda inginkan adalah sebuah proses dan layanan yang melahirkannya. Jika pendengarnya layanan IKE bawaan, klien kedua adalah penyusup; jika agen vendor, klien bawaannya yang penyusup. Putuskan mana yang boleh mulai saat login dan nonaktifkan autostart yang lain alih-alih mematikannya setiap sesi.

Driver filter berada di bawah rute Anda

Driver filter jaringan menyadap lalu lintas antara adaptor dan tumpukan protokol, sehingga dapat menulis ulang atau memblokir paket apa pun kata tabel perutean. Begitulah rute yang tampak benar diabaikan, dan mengapa ping yang berhasil bisa berdampingan dengan peramban yang tidak bisa memuat apa pun.

Komponen vendor juga terikat pada koneksi tertentu. Filter lama yang terikat pada satu adaptor dapat menghalangi profil yang sebenarnya benar menyelesaikan jabat tangannya, dan melepaskan komponen itu dari properti adaptor lebih sempit dan lebih mudah dibatalkan daripada mencopot produk sepenuhnya. Karena pengikatan bersifat per koneksi, bandingkan adaptornya, bukan seluruh tumpukan.

Putuskan produk mana yang memiliki boot, lalu catat

Koeksistensi hanya realistis bila kedua klien menempati lapisan berbeda secara desain, seperti tumpukan IPsec di samping proxy yang hanya menangani lalu lintas aplikasi. Bila keduanya menginginkan port yang sama, lapisan filter yang sama, atau hak menerbitkan rute default, mereka akan terus bergantian dan setiap kegagalan akan tampak seperti kerusakan baru.

Pilih pemiliknya dengan sengaja. Bentuk yang bertahan setelah reboot termasuk menjalankan klien kedua di dalam mesin virtual, menyimpannya di perangkat keras khusus, atau menstandarkan pada satu klien yang berbicara kedua protokol. Menonaktifkan autostart dan layanan pihak yang kalah adalah perubahan yang lebih kecil daripada membangun ulang tabel perutean setelah setiap start, dan bisa dibalik dengan satu suntingan pengaturan.