Hvers vegna aðeins einn VPN-biðlari tengist bak við sama beini

Tvær fartölvur eru á sama heimaneti og skrifstofu-VPN-ið tekur við nákvæmlega annarri þeirra. Hin rennur annaðhvort út á tíma eða bíður þess að sú fyrri aftengist, og enginn snerti biðlarastillingu milli tilraunanna tveggja. Innskráningarupplýsingarnar eru þær sömu og virkuðu fyrir mínútu, og það er vísbendingin um að auðkenningin sé ekki bilunin. Þrír ferlar framleiða þetta mynstur, og annáll netþjónsins sjálfs segir hverjum þú stendur frammi fyrir.

Lestu annál gáttarinnar áður en þú snertir biðlara

Skrá netþjónsins um báðar tilraunirnar svarar fyrstu spurningunni, og svarar á einn af þremur vegu. Ef seinni tilraunin birtist aldrei í þeim annál náði pakkinn aldrei til hlustandans, og heimabeinirinn eða leið veitandans á vandamálið. Ef annállinn skráir tilraun og hafnar henni kom göngin í gegn, svo málið snýst um auðkenni, leyfi eða þak á lotum en ekki neitt á vírnum. Ef annállinn skráir farsæla lotu meðan biðlarinn tilkynnir enn bilun, skoðaðu afturleiðina eða hvort tveir biðlarar fái sama gönguheimilisfangið.

Hótblettur úr síma aðskilur þessa flokka ódýrt: keyrðu seinni biðlarann um farsímagögn meðan sá fyrri helst tengdur. Árangur þar bendir á heimanetið, og sama bilun þar bendir á gáttina, sem lætur beininn vera saklausan. Hvorki niðurstaðan ein og sér er afgerandi, en hvor um sig útilokar helming leitarplássins í einni tilraun.

Skrifaðu niðurstöðuna niður áður en þú breytir nokkru, því þrjár niðurstöður annálsins leiða til þriggja ótengdra viðgerða. Athugasemd sem nefnir hverja þriggja þú sást er meira virði en skjámynd af biðlaravilla.

Hvað beinirinn gerir við GRE og NAT-T

PPTP er hinn klassíski sökudólgur: stjórnrásin er TCP 1723 en gagnaleiðin er GRE, IP-samskiptareglur 47. Margir neytendabeinar koma með PPTP-aðstoð sem fylgist með einni stjórntengingu, svo seinni biðlari bak við sama NAT opnar stjórnrás sína og fær svo enga gagnaleið yfirleitt. Að framsenda TCP-port sem er númer 47 gerir ekkert fyrir GRE, því GRE er samskiptareglunúmer en ekki port.

L2TP yfir IPsec hegðar sér öðruvísi að hönnun: IKE notar UDP 500, NAT-gegnumstreymi færir hlífða farminn yfir á UDP 4500, og umgirtið er einmitt til þess að nokkrir biðlarar bak við eitt heimilisfang geti náð sömu gátt. Sú hönnun kemur ekki í veg fyrir að gátt eða millibox setji þak á lotur fyrir hvert heimilisfang, og úr sófanum líta báðar bilanir eins út. Eigin samskiptareglur SoftEther hafa sömu tegund vandamáls: beinir án virkrar framrásar hleypir fyrsta biðlaranum úr staðarnetinu inn og sleppir þeim seinni. Prófaðu ALG- eða framrásarrofa beinisins í báðum stöðum, því aðstoð skrifuð fyrir eldri biðlara getur skemmt pakka sem núverandi sendir.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Auðkennisþök sem líta út eins og flutningsþök

Beinirinn er ekki eini grunaði, og annállinn greinir hann frá valkostinum. Þegar OpenVPN-netþjónn festir sameiginlegt nafn við eitt gönguheimilisfang fá bæði tækin það heimilisfang, og án duplicate-cn ýtir nýrri lotan þeirri eldri út. Að kveikja á þeim valkosti heldur báðum tengdum en skilur þau eftir með eitt auðkenni, eitt skírteini og eina afturköllunarákvörðun, sem er verra en það virðist. Þá er aldrei hægt að afturkalla seinna tækið eitt og sér, svo þægindarofi fjarlægir hljóðlega stjórn sem þú gætir þurft á síðar.

Lestu annál netþjónsins og stöðuskrána saman, því önnur sýnir auðkenningarákvörðunina og hin hverjir eru tengdir núna. Tvær færslur með sama sameiginlega nafni og eitt sýndarheimilisfang staðfesta árekstur auðkennis en ekki þak beinisins. Viðskiptagáttir bæta við sínum eigin þökum, svo sem áskrift sem leyfir eina samtímis lotu, fjölda leyfa eða reglu sem leyfir eina lotu á hvert opinbert heimilisfang, og engin beinistilling breytir neinu af því.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Pasaðu viðgerðina við færsluna í annálnum

Höfnun í annálnum krefst aðskilinna innskráningarupplýsinga fyrir hvert tæki, hærra þaks frá þeim sem rekur þjónustuna, eða annars endapunkts gáttar fyrir eina vél. Ef engin seinni tilraun nær aldrei til netþjónsins er varanleg viðgerð beinir sem framsendir samskiptareglurnar og heldur fleiri en einni lotu, eða flutningur sem beinirinn höndlar vel, svo sem einn TCP- eða UDP-straumur. Að velja á milli þess er ákvörðun um líftíma vélbúnaðar, ekki um biðlarastillingar.

Ekki afrita snið virks tækis yfir á seinni vélina og kalla málið útrunnið. Það breytir tengingarvandamáli í aðgangsstýringarvandamál, því glataðri fartölvu verður ekki lengur greint frá eintakinu sem enn er í notkun. Það hylur líka upprunalegu bilunina, sem kemur aftur um leið og þriðja tækið birtist.

Staðfesting á tveimur lifandi lotum

Tengdu bæði tækin á sama tíma, keyrðu ætlaða forritið á hvoru um sig, tengdu svo annað þeirra aftur og endurtaktu. Önnur tákn sem birtist stutta stund sannar ekkert um umferð, og lota sem dettur eftir tíu mínútur er önnur villa með annan eiganda. Berðu saman það sem netþjónninn tilkynnir að lokum við það sem notendurnir sáu, því þessar tvær frásagnir eru oft ósammála.

Ef báðar lotur lifa af og flytja umferð heldur viðgerðin, og athugasemdin sem þú skrifaðir í upphafi verður skráin um hvað var rangt. Ef aðeins ein lifir af skaltu fara aftur í fyrsta skref og athuga hver af þremur niðurstöðum annálsins þú hefur núna, því svarið gæti hafa breyst. Aðstoð beinisins getur hulið vandamál sem birtist aftur á öðru neti, en þak á hvert heimilisfang fylgir notandanum en ekki tækinu. Að prófa frá öðru neti er ódýrasta leiðin til að komast að því hvort þú lagðir í raun við einhverju þeirra.