Екінші L2TP клиенті біріншісін өлтіре ме? Инкапсуляцияны оқыңыз

Бір ноутбук кеңсе маршрутизаторы арқылы жұмыс істеп тұрған туннельді ұстап тұр. Сол бөлмедегі екінші ноутбук қосылады да, біріншісі құлайды. Егер бұл бүкіл симптом болса, үстелде әлі үш түрлі себеп бар және қай түзетудің қолданылатыны сіз әлі өлшемеген нәрселерге байланысты. Ортақ маршрутизатор маңызды, бірақ ол автоматты түрде кінәлі емес, протокол да емес.

Диваннан бірдей көрінетін үш себеп

Бірінші үміткер — маршрутизатордың IPsec-ке қатынасы. Арзан тұтынушылық маршрутизаторлар өткізуді жиі жарнамалап, оны бір уақытта бір клиент үшін жүзеге асырады, өйткені механизм бір серіктесті қадағалайды және бірдей қоғамдық мекенжайдың артындағы екі ноутбукты ажырата алмайды. Симптом дәл күткеніңіздей: жаңарақ сессия жеңеді.

Екіншісі — тіркелгі. Көптеген VPN серверлері әр сәйкестікке бір сессияға рұқсат береді және сол тіркелу деректері қайта аутентификацияланғанда ескісін үзеді, бұл қақпадағы саясат шешімі және сіздің маршрутизаторыңызға қатысы жоқ. Аппараттық құрал сатып алмас бұрын сервер журналынан сол айқын хабарламаны іздеңіз.

Үшіншісі — қарапайым қате конфигурация: екі профиль бір сәйкестікке сілтейді, олардың бірінде ескірген алдын ала бөлінген кілт немесе қақпа енді қабылдамайтын сертификат бар. Ол әдетте біріншісінің құлауы емес, екінші қосылымның сәтсіздігі ретінде көрінеді, сондықтан сәтсіздіктің пішіні сізге әлдеқашан бірдеңе айтып тұр.

L2TP/IPsec маршрутизатор арқылы шын мәнінде не жібереді

IKE UDP 500 арқылы жұмыс істейді. Деректер жолы — ESP, ол IP протоколы 50 және ешқандай TCP немесе UDP портын тасымалдамайды. Сондықтан тек порттарды түсінетін маршрутизаторға ұстайтын ештеңе жоқ, және өткізу механизмінің болу себебі дәл осы.

NAT-тан өтумен ESP UDP 4500 ішінде инкапсуляцияланады. Енді маршрутизаторда салыстыратын бастапқы порт бар және әр ноутбук өз аудармасын алады, сондықтан қақпа екі ағынды ажырата алады. Бір мекенжайдың артында бірнеше клиенттің жалпы жұмыс істеуін мүмкін ететін механизм осы.

Бұл айырмашылық маршрутизатордың мүмкіндіктер тізімін оқығанда маңызды. IPsec өткізу деп жазылған белгі өндірушіде қандай да бір механизм бар екенін айтады; ол сол механизмнің бірнеше клиентті қолдайтынын немесе екіншісі келгенде қалай әрекет ететінін айтпайды.

strongSwan-ның NAT-тан өту туралы құжаттамасы инкапсуляцияның өзін сипаттайды және бұл — пакет түсірілімдерінен тексере алатын бөлік, маркетингтік беттен емес.

Шын мәнінде қай себеп бар екенін қалай білуге болады

Төрт бақылау жасап, әр нәтижені жазып алыңыз. Әр ноутбук жалғыз: жұмыс істей ме, қанша уақыт? Екеуі бірге: қайсысы тірі қалады? Екінші ноутбук телефон хотспотында: біріншісі тұрып қала ма? Ал қақпада: сервер журналы ескіні алмастыратын жаңа сессияны көрсете ме, әлде бір клиенттің жай ғана үнсіз қалғанын көрсете ме?

Бұл жауаптар үміткерлерді таза ажыратады. Сервер журналындағы алмастыру хабарламасы сәйкестік саясатын көрсетеді. Маршрутизатор жаңа аударманы көрсетіп тұрғанда трафик қабылдауды тоқтатқан клиент маршрутизаторды көрсетеді. IKE-ны екеуі де аяқтай алмаған екі клиент конфигурацияны немесе тіркелу деректерін көрсетеді.

Барысында бірдей профильдерді ұстаныңыз. Сынақтар арасында профильді ауыстыру бір уақытта екі айнымалыны өлшегеніңізді білдіреді және қорытынды байқау өте қиын түрде қате болады.

Маршрутизатор қолдаса, сонда түсіріңіз, немесе екіншісі қосылып жатқанда бір ноутбукте түсіріңіз. Бірінші клиенттің пакеттері тоқтағанда екіншісінің пакеттерінің пайда болғанын көру кез келген қосылған белгішеден де күшті дәлел.

Егер шектеу маршрутизатор болса

Өндірушінің құжатталған көпклиенттік конфигурациясы болса, соны қолданыңыз, немесе құрылғыны құжаттамасы қажетіңізді айтатын басқасымен алмастырыңыз. Бұл көріксіз жауап және микробағдарлама жаңартуынан кейін тірі қалатын жалғыз жауап.

Жұмыс істемейтіні — екі түрлі ноутбукке қарай екі бірдей кіріс бағыттауын қосу. Бағыттау маршрутизаторға келген трафикті қайда жіберу керегін айтады; ол пакеттің екі белсенді ағынның қайсысына тиесілі екенін айтпайды, ал осы екіұштылық — ақау.

Егер маршрутизаторды ауыстыру мүмкін болмаса, бір клиентті басқа жолдың артына қойыңыз. Телефон хотспоты — нашар тұрақты шешім және толық жақсы диагностикалық шешім.

Егер шектеу қақпа болса

Бөлек адамдарға бөлек сәйкестіктер беріңіз. Екі ноутбук пайдаланатын бір ортақ тіркелгі — бір сессияға конфигурацияланған серверлерде осы симптомды тудыратын құрылым, және ешбір жергілікті конфигурация арғы жақта қабылданған шешімді түзетпейді.

Қақпаның иесінен қай саясаттың қолданылатынын сұраңыз: әр тіркелгіге бір сессия, әр сертификатқа бір немесе мүлде шектеусіз. Олардың жауабы жаңа тіркелу деректері керек пе, әлде жаңа маршрутизатор керек пе — соны шешеді.

Тексеру — адамдар өткізіп жіберетін бөлік. Екі клиенттен де пайдалы трафикті бұрын сәтсіз болатын аралықтан ұзағырақ жүргізіңіз, өйткені екі сәтті кіру тек аутентификацияның әрқайсысында бір рет жұмыс істегенін дәлелдейді.