L2TP/IPsec가 한 네트워크에서는 연결되고 다른 네트워크에서는 시간 초과됩니다

같은 노트북, 같은 프로필, 같은 비밀번호가 한 건물에서는 되고 다른 건물에서는 실패합니다. 그 비교가 티켓에서 가장 유용한 증거이며, 보통 가장 먼저 버려지는 것이기도 합니다. 두 액세스 네트워크 사이에서 교환은 서로 다른 주소 변환, 다른 필터, 다른 라우터 도우미를 거칩니다. 클라이언트를 고정하고 네트워크만 바꾸는 것이 그중 무엇이 중요한지 알아내는 방법입니다.

네트워크를 비교하기 전에 클라이언트를 고정하십시오

동작하는 사례의 기록이 생기기 전에는 기기에서 아무것도 바꾸지 마십시오. 클라이언트 버전, 프로필 내용, 서버 이름, 성공한 연결의 시각을 남기십시오. 그다음 같은 세션 안에서 두 번째 네트워크에서 장애를 재현해 클라이언트 상태를 최대한 동일하게 유지하십시오. 두 시도 사이에 프로필을 편집하면 비교 전체가 무효가 됩니다. 목표는 변수 하나이며, 그 변수는 네트워크입니다.

먼저 장애가 나는 네트워크에서 일반 인터넷 접속을 확인하십시오. 게스트 포털이 있으면 그것도 포함합니다. 한 번도 통과하지 못한 포털은 필터링된 터널과 똑같이 보이는 시간 초과를 만들며, 그 확인은 일 분이면 됩니다.

네 단계, 네 가지 서로 다른 오류 메시지

L2TP/IPsec 연결은 네 단계를 거칩니다, 그리고 RFC 3193 은 처음 두 단계를 묶는 방식을 설명합니다. IKE 협상은 필터링된 경로가 조용한 시간 초과를 만드는 지점입니다. IPsec 인증은 인증서나 사전 공유 키의 불일치가 대신 명시적 거부를 만드는 지점입니다. L2TP 터널 설정은 보안 연결이 이미 수립되었는데도 아무 데도 이르지 못할 수 있는 지점이고, PPP 로그인은 잘못된 자격 증명이 마침내 눈에 보이는 실패를 만드는 지점입니다. 멈춘 단계의 로그를 읽으십시오, 마지막으로 출력된 줄이 아니라.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

strongSwan 로그는 IKE 교환이 제안에 도달했는지, 상대가 응답하기는 했는지를 보여 주어 도달 가능성과 정책을 구분합니다. xl2tpd 로그는 IPsec이 끝나는 지점부터 이어지므로, 그 로그에 아무것도 없는 수립된 보안 연결은 L2TP 단계를 가리킵니다. 경로 질의는 클라이언트가 생각하는 서버 주소로 보내고 있는지 확인하며, 이전 네트워크에서 물려받은 오래된 DNS 응답을 잡아냅니다. 세 출력을 합치면 증상이 아니라 단계를 지목합니다.

NAT 깊이와 도우미 동작을 비교하십시오

NAT 통과는 보호된 트래픽을 UDP 캡슐화로 옮깁니다 변환이 감지되면 동작 중인 세션을 나르는 포트 번호가 정적 다이어그램의 번호와 다를 수 있습니다. 설정 패킷 하나를 허용하는 것은 나머지 교환에 대해 아무것도 증명하지 못하며, 외부 포트 스캔으로는 상대가 유효하게 인증된 트래픽을 어떻게 다루는지 알 수 없습니다. 두 번째 변환 계층은 그림을 다시 바꿉니다. 매핑이 이제 두 번 존재하고 서로 다른 두 일정에 따라 만료되기 때문입니다. 모바일 연결의 통신사 수준 변환은 사무실에서 되던 프로필이 휴대전화 핫스팟에서 실패하는 흔한 이유입니다.

라우터 도우미는 네트워크만큼이나 다양합니다. 어떤 펌웨어는 교환을 가로채 다시 쓰고, 어떤 것은 그저 버리기를 멈추며, 또 어떤 것은 이전 모드에서만 설정을 적용합니다. 체크박스에 대한 펌웨어 자체의 설명을 읽고, 호환 모드가 있으면 한 번에 셋이 아니라 하나의 의도적인 변경으로 시험하십시오.

나가는 클라이언트, 들어오는 서버: 두 가지 다른 문제

나가는 클라이언트와 들어오는 서버는 서로 다른 상류 도달 가능성이 필요하며, 첫 번째에 도움이 되는 통과 기능은 두 번째에 아무 효과가 없습니다. 노트북이 원격 게이트웨이에 닿게 해 주는 가정용 라우터가 그 뒤의 서버로 들어오는 연결을 받아 주는 것은 아닙니다. 둘을 혼동하면 문제가 아니었던 포트 포워딩을 찾아 헤매게 됩니다. 무엇이든 비교하기 전에 실패한 기기가 어떤 역할인지 밝히십시오.

지원되는 변경을 한 뒤 같은 연결을 반복하고 도달한 단계를 기록하십시오. 동작하는 프로필과 실패한 네트워크에 대한 메모를 함께 보관하고, 자격 증명을 재설정하거나 클라이언트를 다시 설치하지 마십시오. 그러면 비교의 토대가 된 증거를 버리게 됩니다.