L2TP/IPsec ერთ ქსელში უკავშირდება, მეორეში კი დროის ამოწურვას იძლევა

იგივე ლეპტოპი, იგივე პროფილი და იგივე პაროლი ერთ შენობაში მუშაობს, მეორეში კი ვერ ახერხებს. ეს შედარება ბილეთში ყველაზე სასარგებლო მტკიცებულებაა და ჩვეულებრივ პირველია, რაც იკარგება. ორ წვდომის ქსელს შორის გაცვლა გადის სხვა მისამართის თარგმანზე, სხვა ფილტრებსა და სხვა მარშრუტიზატორის დამხმარეებზე. კლიენტის უცვლელად დატოვება და მხოლოდ ქსელის შეცვლა არის გზა გაიგოთ, რომელი მათგანია მნიშვნელოვანი.

დააფიქსირეთ კლიენტი ქსელების შედარებამდე

არაფერი შეცვალოთ მოწყობილობაზე, სანამ არ გექნებათ მუშა შემთხვევის ჩანაწერი: კლიენტის ვერსია, პროფილის შიგთავსი, სერვერის სახელი და წარმატებული კავშირის დრო. შემდეგ გაიმეორეთ ხარვეზი მეორე ქსელში იმავე სესიის განმავლობაში, რათა კლიენტის მდგომარეობა მაქსიმალურად იდენტური იყოს. ორ ცდას შორის რედაქტირებული პროფილი მთელ შედარებას ბათილად აქცევს. მიზანი ერთი ცვლადია და ეს ცვლადი ქსელია.

ჯერ დაადასტურეთ ჩვეულებრივი ინტერნეტით წვდომა ხარვეზიან ქსელში, მათ შორის სტუმრის პორტალი, თუ არსებობს. პორტალი, რომელიც არასდროს შესრულებულა, ქმნის დროის ამოწურვას, რომელიც ზუსტად გაფილტრულ გვირაბს ჰგავს, და ეს შემოწმება ერთ წუთს იკავებს.

ოთხი ეტაპი, ოთხი განსხვავებული შეცდომის შეტყობინება

L2TP/IPsec კავშირი გადის ოთხ ეტაპს და RFC 3193 აღწერს იმ მოწყობას, რომელიც პირველ ორს აკავშირებს. IKE მოლაპარაკება არის ადგილი, სადაც გაფილტრული გზა წყნარ დროის ამოწურვას წარმოქმნის. IPsec აუთენტიფიკაცია არის ადგილი, სადაც სერტიფიკატის ან წინასწარ გაზიარებული გასაღების შეუსაბამობა სამაგიეროდ აშკარა უარყოფას წარმოქმნის. L2TP გვირაბის მონტაჟი არის ადგილი, სადაც უკვე დადგენილ უსაფრთხოების ასოციაციას მაინც შეუძლია არსად მიგვიყვანოს, ხოლო PPP შესვლა არის ადგილი, სადაც არასწორი საიდენტიფიკაციო მონაცემი საბოლოოდ ხილულ ხარვეზს წარმოქმნის. წაიკითხეთ ჟურნალი იმ ეტაპისთვის, რომელიც შეჩერდა, და არა ბოლო დაბეჭდილი ხაზისთვის.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

strongSwan-ის ჟურნალი აჩვენებს, მიაღწია თუ არა IKE გაცვლამ წინადადებას და უპასუხა თუ არა მხარემ საერთოდ, რაც წვდომადობას პოლიტიკისგან გამოყოფს. xl2tpd-ის ჟურნალი იწყება იქ, სადაც IPsec მთავრდება, ამიტომ დადგენილი უსაფრთხოების ასოციაცია, რომელსაც ამ ჟურნალში არაფერი აქვს, L2TP ეტაპზე მიუთითებს. მარშრუტის მოთხოვნა ადასტურებს, რომ კლიენტი აგზავნის იმ სერვერის მისამართზე, რომელსაც ფიქრობთ, და ეს იჭერს წინა ქსელიდან მემკვიდრეობით მიღებულ მოძველებულ DNS პასუხს. ერთად, სამი გამომავალი ასახელებს ეტაპს სიმპტომის ნაცვლად.

შეადარეთ NAT-ის სიღრმე და დამხმარის ქცევა

NAT-ის გავლა დაცულ ტრაფიკს UDP-ის კაფსულაციაზე გადააქვს როცა თარგმანი გამოვლინდება, ამიტომ მომუშავე სესიის მატარებელი პორტის ნომრები შეიძლება განსხვავდებოდეს სტატიკურ დიაგრამაში არსებულისგან. ერთი კონფიგურაციის პაკეტის დაშვება არაფერს ამტკიცებს გაცვლის დანარჩენ ნაწილზე, და გარე პორტის სკანირება ვერ გეტყვით, როგორ ეპყრობა მხარე ნამდვილ აუთენტიფიცირებულ ტრაფიკს. მეორე თარგმანის ფენა კვლავ ცვლის სურათს, რადგან დაკავშირება ახლა ორჯერ არსებობს და ორი განსხვავებული გრაფიკით იწურება. ოპერატორის დონის თარგმანი მობილურ კავშირზე ჩვეული მიზეზია იმისა, რომ მომუშავე ოფისის პროფილი ტელეფონის ჰოთსპოტზე ვერ ახერხებს.

მარშრუტიზატორის დამხმარეები ისე განსხვავდებიან, როგორც ქსელები. ზოგი firmware იჭერს და გადაწერს გაცვლას, ზოგი უბრალოდ წყვეტს მის გადაგდებას, ზოგი კი პარამეტრს მხოლოდ ძველ რეჟიმში იყენებს. წაიკითხეთ თავად firmware-ის აღწერა მონიშვნის უჯრაზე და, სადაც თავსებადობის რეჟიმი არსებობს, გამოსცადეთ იგი როგორც ერთი განზრახ ცვლილება და არა სამი ერთდროულად.

გამავალი კლიენტი, შემავალი სერვერი: ორი განსხვავებული პრობლემა

გამავალ კლიენტსა და შემავალ სერვერს სხვადასხვა ზედა დინების წვდომადობა სჭირდება, და გავლის ფუნქცია, რომელიც პირველს ეხმარება, მეორისთვის არაფერს აკეთებს. სახლის მარშრუტიზატორი, რომელიც ლეპტოპს შორეულ კარიბჭემდე მისვლის საშუალებას აძლევს, ამით არ იღებს შემავალ კავშირებს მის უკან მდგარ სერვერზე. ორივეს არევა გიგზავნით იმ პორტის გადამისამართების ძებნაში, რომელიც არასდროს ყოფილა პრობლემა. სანამ რამეს შეადარებთ, თქვით, რა როლი აქვს ხარვეზიან მოწყობილობას.

მხარდაჭერილი ცვლილების შემდეგ გაიმეორეთ იგივე კავშირი და ჩაწერეთ მიღწეული ეტაპი. შეინახეთ ერთად მომუშავე პროფილი და ჩანაწერი ხარვეზიან ქსელზე, და ნუ აღადგენთ საიდენტიფიკაციო მონაცემებს და ნუ გადააყენებთ კლიენტს, რადგან ეს ყრის იმ მტკიცებულებას, რომელზეც შედარება აშენდა.