Il secondo client L2TP uccide il primo? Leggi l’incapsulamento

Un portatile mantiene un tunnel funzionante attraverso il router dell’ufficio. Un secondo portatile nella stessa stanza si collega, e il primo cade. Se questo è tutto il sintomo, tre cause diverse sono ancora sul tavolo, e quale correzione si applichi dipende da cose che non hai ancora misurato. Il router condiviso è rilevante, ma non è automaticamente colpevole, e nemmeno il protocollo.

Tre cause che dal divano sembrano identiche

Il primo candidato è il modo in cui il router gestisce IPsec. I router consumer economici spesso pubblicizzano il pass-through e lo implementano per un solo client alla volta, perché il meccanismo segue un solo peer e non può separare due portatili dietro lo stesso indirizzo pubblico. Il sintomo è esattamente quello che ti aspetteresti: vince la sessione più recente.

La seconda è l’account. Molti server VPN consentono una sessione per identità e disconnettono quella più vecchia quando le stesse credenziali si autenticano di nuovo, il che è una decisione di policy sul gateway e non ha nulla a che vedere con il tuo router. Cerca quel messaggio esplicito nel log del server prima di comprare hardware.

La terza è una semplice configurazione errata: due profili che puntano alla stessa identità, uno dei quali con una chiave precondivisa scaduta o un certificato che il gateway non accetta più. Quella di solito si manifesta come una seconda connessione fallita invece che come la caduta della prima, quindi la forma del guasto ti sta già dicendo qualcosa.

Che cosa invia davvero L2TP/IPsec attraverso il router

IKE viaggia su UDP 500. Il percorso dati è ESP, che è il protocollo IP 50 e non trasporta alcuna porta TCP o UDP. Quindi un router che capisce solo le porte non ha nulla su cui fare presa, ed è esattamente per questo che esiste il meccanismo di pass-through.

Con la traversata NAT, ESP viene incapsulato dentro UDP 4500. Ora il router ha una porta sorgente da mappare, e ogni portatile ottiene la propria traduzione, così il gateway può distinguere due flussi. Questo è il meccanismo che rende possibile il funzionamento di più client dietro un solo indirizzo.

La distinzione conta quando leggi l’elenco delle funzioni di un router. Un’etichetta che dice pass-through IPsec ti dice che il produttore ha un qualche meccanismo; non ti dice se quel meccanismo supporta più client né come si comporta quando arriva il secondo.

La documentazione di strongSwan sulla traversata NAT descrive l’incapsulamento stesso, ed è la parte che puoi verificare dalle catture dei pacchetti invece che da una pagina di marketing.

Come capire quale causa hai davvero

Fai quattro osservazioni e annota ogni risultato. Ogni portatile da solo: funziona, e per quanto tempo? Entrambi insieme: quale sopravvive? Il secondo portatile su un hotspot del telefono: il primo resta su? E sul gateway: il log del server mostra una nuova sessione che sostituisce una vecchia, o mostra un client che semplicemente tace?

Quelle risposte separano i candidati in modo netto. Un messaggio di sostituzione nel log del server indica la policy di identità. Un client che smette di ricevere traffico mentre il router mostra una nuova traduzione indica il router. Due client che entrambi non completano IKE indicano la configurazione o le credenziali.

Mantieni gli stessi profili per tutto il tempo. Cambiare profilo tra i test significa che stai misurando due variabili alla volta, e la conclusione sarà sbagliata in un modo molto difficile da notare.

Cattura sul router se lo supporta, o su un portatile mentre l’altro si collega. Vedere i pacchetti del secondo client apparire mentre quelli del primo si fermano è una prova più solida di qualsiasi icona di connessione.

Se il router è il vincolo

Usa la configurazione multi-client documentata dal produttore se esiste, o sostituisci il dispositivo con uno la cui documentazione dica ciò che ti serve. È una risposta poco glamour e l’unica che sopravvive a un aggiornamento del firmware.

Ciò che non funziona è aggiungere due inoltri in ingresso identici verso due portatili diversi. Un inoltro dice al router dove inviare il traffico in arrivo; non gli dice a quale di due flussi attivi appartenga un pacchetto, e l’ambiguità è il difetto.

Se il router non può essere sostituito, metti un client dietro un percorso diverso. Un hotspot del telefono è una cattiva soluzione permanente e una soluzione diagnostica perfettamente buona.

Se il gateway è il vincolo

Prevedi identità separate per persone separate. Un account condiviso usato da due portatili è la disposizione che produce questo sintomo su server configurati per una sola sessione, e nessuna configurazione locale corregge una decisione presa all’altro capo.

Chiedi al proprietario del gateway quale policy si applica: una sessione per account, una per certificato, o nessun limite. La loro risposta decide se ti servono nuove credenziali o un nuovo router.

La verifica è la parte che la gente salta. Fai passare traffico utile da entrambi i client più a lungo dell’intervallo che falliva prima, perché due accessi riusciti provano solo che l’autenticazione ha funzionato una volta ciascuno.