მეორე L2TP კლიენტი პირველს კლავს? წაიკითხეთ ინკაფსულაცია
ერთი მომუშავე VPN ნულდება, როცა მეორე ლეპტოპი უკავშირდება. შეამოწმეთ ESP-ის UDP ინკაფსულაციის წინააღმდეგ, NAT პორტების დაფარვა და დუბლირებული იდენტობა, და არა პროტოკოლი.
ერთი ლეპტოპი სამუშაო გვირაბს ინარჩუნებს ოფისის როუტერის გავლით. იმავე ოთახში მეორე ლეპტოპი უკავშირდება და პირველი ვარდება. თუ ეს მთელი სიმპტომია, მაგიდაზე ჯერ კიდევ სამი განსხვავებული მიზეზია და რომელი შესწორება მოქმედებს, დამოკიდებულია იმაზე, რაც ჯერ არ გაზომეთ. საერთო როუტერი მნიშვნელოვანია, მაგრამ ავტომატურად დამნაშავე არ არის და პროტოკოლიც არა.
სამი მიზეზი, რომლებიც დივანიდან იდენტურად გამოიყურება
პირველი კანდიდატია როუტერის დამოკიდებულება IPsec-ის მიმართ. იაფი სამომხმარებლო როუტერები ხშირად რეკლამირებენ გატარებას და ერთდროულად ერთი კლიენტისთვის ახორციელებენ, რადგან მექანიზმი ერთ პარტნიორს ადევნებს და ვერ გამოჰყოფს ორ ლეპტოპს ერთი და იმავე საჯარო მისამართის უკან. სიმპტომი ზუსტად ის არის, რასაც ელოდებოდით: უფრო ახალი სესია იმარჯვებს.
მეორე არის ანგარიში. ბევრი VPN სერვერი იძლევა ერთ სესიას თითო იდენტობაზე და წყვეტს უფრო ძველს, როცა იგივე სამყაროები ხელახლა ავთენტიფიცირდება, რაც შესასვლელზე პოლიტიკის გადაწყვეტილებაა და თქვენს როუტერს არაფერ შუაშია. მოძებნეთ ეს ცხადი შეტყობინება სერვერის ჟურნალში, სანამ აპარატურას იყიდით.
მესამე უბრალო არასწორი კონფიგურაციაა: ორი პროფილი ერთ იდენტობაზე მიუთითებს, ერთი მათგანი მოძველებული წინასწარ გაზიარებული გასაღებით ან სერტიფიკატით, რომელსაც შესასვლელი აღარ იღებს. ეს ჩვეულებრივ ჩნდება როგორც მეორე კავშირის წარუმატებლობა და არა პირველის ვარდნა, ასე რომ წარუმატებლობის ფორმა უკვე რაღაცას გეუბნებათ.
რას აგზავნის L2TP/IPsec სინამდვილეში როუტერის გავლით
IKE მუშაობს UDP 500-ზე. მონაცემთა გზა ESP-ია, რომელიც IP პროტოკოლი 50-ია და საერთოდ არ ატარებს TCP ან UDP პორტებს. ამიტომ მხოლოდ პორტების გამგებელ როუტერს დასაჭერი არაფერი აქვს და სწორედ ამიტომ არსებობს გატარების მექანიზმი.
NAT-ის გადალახვით ESP ინკაფსულირდება UDP 4500-ის შიგნით. ახლა როუტერს აქვს წყაროს პორტი დასაფარად და თითოეული ლეპტოპი თავის თარგმანს იღებს, ასე რომ შესასვლელს შეუძლია ორი ნაკადი გაარჩიოს. ეს არის ის მექანიზმი, რომელიც საერთოდ შესაძლებელს ხდის რამდენიმე კლიენტის მუშაობას ერთი მისამართის უკან.
განსხვავებას მნიშვნელობა აქვს, როცა როუტერის ფუნქციების სიას კითხულობთ. ეტიკეტი, რომელიც ამბობს IPsec გატარებას, გეუბნებათ, რომ მწარმოებელს რაღაც მექანიზმი აქვს; ის არ გეუბნებათ, ემსახურება თუ არა ეს მექანიზმი რამდენიმე კლიენტს ან როგორ იქცევა, როცა მეორე მოდის.
strongSwan-ის NAT-ის გადალახვის დოკუმენტაცია აღწერს თავად ინკაფსულაციას და ეს არის ის ნაწილი, რომლის გადამოწმებაც პაკეტების ჩაწერიდან შეგიძლიათ და არა მარკეტინგული გვერდიდან.
როგორ გავიგოთ, რომელი მიზეზი გაქვთ სინამდვილეში
გააკეთეთ ოთხი დაკვირვება და ჩაწერეთ თითოეული შედეგი. თითოეული ლეპტოპი ცალკე: მუშაობს და რამდენ ხანს? ორივე ერთად: რომელი რჩება? მეორე ლეპტოპი ტელეფონის ჰოთსპოტზე: პირველი რჩება? და შესასვლელთან: სერვერის ჟურნალი აჩვენებს ახალ სესიას, რომელიც ცვლის ძველს, თუ აჩვენებს ერთ კლიენტს, რომელიც უბრალოდ დუმს?
ეს პასუხები სუფთად ჰყოფს კანდიდატებს. სერვერის ჟურნალში ჩანაცვლების შეტყობინება იდენტობის პოლიტიკაზე მიუთითებს. კლიენტი, რომელიც წყვეტს ტრაფიკის მიღებას, სანამ როუტერი ახალ თარგმანს აჩვენებს, როუტერზე მიუთითებს. ორი კლიენტი, რომლებიც ორივე ვერ ასრულებს IKE-ს, კონფიგურაციაზე ან სამყაროებზე მიუთითებს.
მთელი დროის განმავლობაში იგივე პროფილები შეინარჩუნეთ. ტესტებს შორის პროფილის შეცვლა ნიშნავს, რომ ერთდროულად ორ ცვლადს ზომავთ და დასკვნა ისე იქნება მცდარი, რომ მისი შემჩნევა ძალიან რთულია.
ჩაწერეთ როუტერზე, თუ ის ამას მხარს უჭერს, ან ერთ ლეპტოპზე, სანამ მეორე უკავშირდება. იმის დანახვა, რომ მეორე კლიენტის პაკეტები ჩნდება, სანამ პირველის პაკეტები ჩერდება, უფრო ძლიერი მტკიცებულებაა, ვიდრე ნებისმიერი დაკავშირებული ხატულა.
თუ შეზღუდვა როუტერია
გამოიყენეთ მწარმოებლის დოკუმენტირებული მრავალკლიენტიანი კონფიგურაცია, თუ ის არსებობს, ან შეცვალეთ მოწყობილობა ისეთით, რომლის დოკუმენტაციაც ამბობს იმას, რაც გჭირდებათ. ეს არაბრწყინავი პასუხია და ერთადერთი, რომელიც ფირმატის განახლებას გადაურჩება.
რაც არ მუშაობს, არის ორი იდენტური შემავალი გადამისამართების დამატება ორი სხვადასხვა ლეპტოპისკენ. გადამისამართება როუტერს ეუბნება, სად გაგზავნოს შემომავალი ტრაფიკი; ის არ ეუბნება, ორი აქტიური ნაკადიდან რომელს ეკუთვნის პაკეტი და ეს გაურკვევლობაა ხარვეზი.
თუ როუტერის შეცვლა შეუძლებელია, ერთი კლიენტი სხვა გზის უკან მოათავსეთ. ტელეფონის ჰოთსპოტი ცუდი მუდმივი გადაწყვეტაა და სრულიად კარგი დიაგნოსტიკური.
თუ შეზღუდვა შესასვლელია
გამოყავით ცალკეული იდენტობები ცალკეული ადამიანებისთვის. ერთი საერთო ანგარიში, რომელსაც ორი ლეპტოპი იყენებს, არის ის წყობა, რომელიც ამ სიმპტომს იწვევს ერთ სესიაზე კონფიგურირებულ სერვერებზე და არც ერთი ლოკალური კონფიგურაცია არ ასწორებს მეორე ბოლოში მიღებულ გადაწყვეტილებას.
ჰკითხეთ შესასვლელის მფლობელს, რომელი პოლიტიკა მოქმედებს: ერთი სესია თითო ანგარიშზე, ერთი თითო სერტიფიკატზე თუ საერთოდ ლიმიტი არ არის. მათი პასუხი წყვეტს, გჭირდებათ ახალი სამყაროები თუ ახალი როუტერი.
გადამოწმება ის ნაწილია, რომელსაც ხალხი გამოტოვებს. გაუშვით სასარგებლო ტრაფიკი ორივე კლიენტიდან უფრო დიდხანს, ვიდრე ის ინტერვალი, რომელიც ადრე ფუჭდებოდა, რადგან ორი წარმატებული შესვლა მხოლოდ იმას ამტკიცებს, რომ ავთენტიფიკაცია თითოეულში ერთხელ იმუშავა.