Неге бір роутердің артында тек бір VPN клиенті қосылады

Екі ноутбук бір үй желісінде тұр, ал кеңсе VPN-і олардың дәл біреуін қабылдайды. Екіншісі не уақыт шегінен өтеді, не біріншісі ажырағанша күтеді, ал екі әрекеттің арасында ешкім клиент параметрін ұстаған жоқ. Кіру деректері минуты бұрын жұмыс істегендердің дәл өзі, және бұл аутентификацияның себеп еместігінің белгісі. Бұл үлгіні үш механизм жасайды, ал сервердің өз журналы қайсысына тап болғаныңызды айтады.

Клиентке тиер алдында шлюз журналын оқыңыз

Екі әрекет туралы сервер жазбасы бірінші сұраққа жауап береді және үш жолдың бірімен жауап береді. Егер екінші әрекет сол журналда мүлдем көрінбесе, пакет тыңдаушыға жетпеген, ал мәселе үй роутеріне немесе провайдер жолына тиесілі. Егер журнал әрекетті жазып, оны қабылдамаса, туннель жеткен, яғни мәселе сәйкестікте, лицензияда немесе сеанс шегінде, сымдағы ештеңеде емес. Егер журнал сәтті сеанс жазып, клиент әлі де сәтсіздік туралы хабарласа, қайту жолын немесе екі клиентке бір туннель мекенжайы беріліп жатқанын қараңыз.

Телефон хотспоты бұл топтарды арзан ажыратады: біріншісі қосылып тұрғанда екінші клиентті мобильді деректер арқылы іске қосыңыз. Онда сәттілік үй желісін көрсетеді, ал ондағы дәл сол сәтсіздік шлюзді көрсетеді, бұл роутерді кінәсіз қалдырады. Нәтижелердің ешқайсысы жалғыз өзі шешуші емес, бірақ әрқайсысы бір әрекетте іздеу кеңістігінің жартысын алып тастайды.

Бірдеңені өзгертудің алдында нәтижені жазып қойыңыз, өйткені журналдың үш нәтижесі үш байланыссыз жөндеуге әкеледі. Үшеуінің қайсысын көргеніңізді атайтын жазба клиент қатесінің скриншотынан қымбат.

Роутер GRE және NAT-T-мен не істейді

PPTP — классикалық кінәлі: басқару арнасы TCP 1723, ал деректер жолы GRE, яғни IP протоколы 47. Көптеген тұтынушы роутерлері бір басқару қосылысын бақылайтын PPTP көмекшісімен келеді, сондықтан сол NAT артындағы екінші клиент өз басқару арнасын ашады да, содан кейін деректер жолын мүлдем алмайды. 47 нөмірлі TCP портын бағыттау GRE үшін ештеңе істемейді, өйткені GRE порт емес, протокол нөмірі.

L2TP IPsec үстінде дизайны бойынша басқаша әрекет етеді: IKE UDP 500 пайдаланады, NAT-тан өту қорғалған жүкті UDP 4500-ге жылжытады, ал инкапсуляция дәл бір мекенжай артындағы бірнеше клиенттің бір шлюзге жетуі үшін бар. Бұл дизайн шлюздің немесе аралық құрылғының әр мекенжайға сеанс шегін қоюына кедергі болмайды, ал диваннан қарағанда екі сәтсіздік бірдей көрінеді. SoftEther-дің өз протоколында да осы тектес мәселе бар: жұмыс істейтін өткізуі жоқ роутер жергілікті желіден бірінші клиентті жібереді де, екіншісін тастайды. Роутердің ALG немесе өткізу қосқышын екі күйде де тексеріңіз, өйткені ескі клиент үшін жазылған көмекші қазіргі клиент жіберетін пакеттерді бүлдіруі мүмкін.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Тасымал шегіне ұқсайтын сәйкестік шектері

Роутер жалғыз күдікті емес, ал журнал оны баламадан ажыратады. OpenVPN сервері ортақ атауды бір туннель мекенжайына бекіткенде, екі құрылғы да сол мекенжайды алады, ал duplicate-cn болмаса жаңа сеанс ескісін ығыстырады. Сол опцияны қосу екеуін де қосылып тұрған күйде қалдырады, бірақ оларды бір сәйкестікпен, бір сертификатпен және бір қайтарып алу шешімімен қалдырады, бұл көрінгеннен де нашар. Сонда екінші құрылғыны ешқашан жеке қайтарып алу мүмкін болмайды, сондықтан ыңғайлылық қосқышы кейінірек керек болуы мүмкін бақылауды үнсіз алып тастайды.

Сервердің журналы мен күй файлын бірге оқыңыз, өйткені біреуі аутентификация шешімін, екіншісі қазір кім қосылғанын көрсетеді. Ортақ атауы мен бір виртуалды мекенжайы бірдей екі жазба роутер шегін емес, сәйкестік қақтығысын растайды. Коммерциялық шлюздер өз шектерін қосады, мысалы бір мезгілде бір сеансқа рұқсат беретін тариф, лицензия саны немесе әр жария мекенжайға бір сеансқа рұқсат беретін ереже, және роутердің ешбір параметрі оның ешқайсысын өзгертпейді.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Жөндеуді журнал жазбасымен сәйкестендіріңіз

Журналдағы бас тарту әр құрылғыға бөлек кіру деректерін, қызметті жүргізушіден жоғары шекті немесе бір машинаға екінші шлюз соңғы нүктесін талап етеді. Ешбір екінші әрекет серверге жетпесе, тұрақты жөндеу — протоколды өткізетін және бірнеше сеансты ұстайтын роутер немесе роутер жақсы меңгеретін тасымал, мысалы бір TCP немесе UDP ағыны. Олардың арасында таңдау аппаратураның қызмет мерзімі туралы шешім, клиент параметрлері туралы емес.

Жұмыс істеп тұрған құрылғының профилін екінші машинаға көшіріп, істі бітті деп санамаңыз. Бұл қосылу мәселесін қатынауды бақылау мәселесіне айналдырады, өйткені жоғалған ноутбукті әлі қолданыстағы көшірмеден ажырату мүмкін емес. Ол сондай-ақ бастапқы ақауды жасырады, ол үшінші құрылғы пайда болған сәтте қайта оралады.

Екі тірі сеансты тексеру

Екі құрылғыны бір уақытта қосыңыз, әрқайсысында көзделген қолданбаны іске қосыңыз, содан кейін біреуін қайта қосып, қайталаңыз. Бір сәтке пайда болатын екінші белгіше трафик туралы ештеңені дәлелдемейді, ал он минуттан кейін құлаған сеанс — басқа иесі бар басқа ақау. Сервердің соңында хабарлағанын пайдаланушылар көргенмен салыстырыңыз, өйткені бұл екі әңгіме жиі сәйкеспейді.

Егер екі сеанс та аман қалып, трафик тасыса, түзету ұсталады, ал басында жазған жазбаңыз не дұрыс болмағанының жазбасына айналады. Егер тек біреуі аман қалса, бірінші қадамға оралып, қазір журналдың үш нәтижесінің қайсысы бар екенін тексеріңіз, өйткені жауап өзгерген болуы мүмкін. Роутер көмекшілері басқа желіде қайта пайда болатын мәселені жасыра алады, ал әр мекенжайға шек құрылғыны емес, пайдаланушыны ілеседі. Екінші желіден тексеру — осылардың қайсысын шынымен түзеткеніңізді білудің ең арзан жолы.