Экинчи L2TP кардары биринчисин өлтүрөбү? Инкапсуляцияны окуңуз

Бир ноутбук кеңсе маршрутизатору аркылуу иштеп турган туннелди кармап турат. Ошол эле бөлмөдөгү экинчи ноутбук туташат, биринчиси кулайт. Эгер бул бүт симптом болсо, столдо дагы үч ар башка себеп бар жана кайсы оңдоо иштээри сиз али өлчөгөн эмес нерселерге байланыштуу. Жалпы маршрутизатор маанилүү, бирок ал автоматтык түрдө күнөөлүү эмес, протокол да эмес.

Дивандан бирдей көрүнгөн үч себеп

Биринчи талапкер — маршрутизатордун IPsec менен мамилеси. Арзан керектөөчү маршрутизаторлор өткөрүүнү жарнамалап, аны бир убакта бир кардар үчүн ишке ашырат, анткени механизм бир өнөктөштү көзөмөлдөйт жана бирдей коомдук даректин артындагы эки ноутбукту ажырата албайт. Симптом так сиз күткөндөй: жаңыраак сессия жеңет.

Экинчиси — аккаунт. Көптөгөн VPN серверлери ар бир инсандыкка бир сессияга уруксат берет жана ошол эле кирүү маалыматтары кайра аутентификацияланганда эскисин үзөт, бул дарбазадагы саясат чечими жана сиздин маршрутизаторуңузга эч кандай тиешеси жок. Аппараттык каражат сатып алардан мурун сервер журналынан ошол айкын билдирүүнү издеңиз.

Үчүнчүсү — жөнөкөй туура эмес конфигурация: эки профиль бир инсандыкка көрсөтөт, алардын биринде эскирген алдын ала бөлүнгөн ачкыч же дарбаза мындан ары кабыл албаган сертификат бар. Ал адатта биринчисинин кулашы эмес, экинчи туташуунун ийгиликсиздиги катары көрүнөт, ошондуктан ийгиликсиздиктин формасы сизге мурунтан эле бир нерсе айтып турат.

L2TP/IPsec маршрутизатор аркылуу чындыгында эмнени жөнөтөт

IKE UDP 500 аркылуу иштейт. Дайындар жолу — ESP, ал IP протоколу 50 жана эч кандай TCP же UDP портун ташыбайт. Ошондуктан портторду гана түшүнгөн маршрутизаторго кармай турган эч нерсе жок, өткөрүү механизминин болушунун себеби дал ушул.

NAT өтүү менен ESP UDP 4500 ичинде инкапсуляцияланат. Эми маршрутизатордо картага түшүрүүчү баштапкы порт бар жана ар бир ноутбук өзүнүн котормосун алат, ошондуктан дарбаза эки агымды ажырата алат. Бир даректин артындагы бир нече кардардын иштешин жалпы мүмкүн кылган механизм ушул.

Бул айырма маршрутизатордун мүмкүнчүлүктөр тизмесин окуганда маанилүү. IPsec өткөрүү деп жазылган белги өндүрүүчүдө кандайдыр бир механизм бар экенин айтат; ал ошол механизм бир нече кардарды колдойбу же экинчиси келгенде кандай аракет кылаарын айтпайт.

strongSwan'дын NAT өтүү тууралуу документтери инкапсуляциянын өзүн сүрөттөйт жана бул — пакет жазууларынан текшере турган бөлүк, маркетинг баракчасынан эмес.

Чындыгында кайсы себеп бар экенин кантип билүү керек

Төрт байкоо жүргүзүп, ар бир жыйынтыкты жазыңыз. Ар бир ноутбук жалгыз: иштейби, канча убакыт? Экөө чогуу: кайсынысы тирүү калат? Экинчи ноутбук телефон хотспотунда: биринчиси турабы? Жана дарбазада: сервер журналы эскини алмаштырган жаңы сессияны көрсөтөбү, же бир кардардын жөн гана үнсүз калганын көрсөтөбү?

Бул жооптор талапкерлерди таза ажыратат. Сервер журналындагы алмаштыруу билдирүүсү инсандык саясатын көрсөтөт. Маршрутизатор жаңы котормону көрсөтүп турганда трафик кабыл алууну токтоткон кардар маршрутизаторду көрсөтөт. IKE'ны экөө тең бүтүрө албаган эки кардар конфигурацияны же кирүү маалыматтарын көрсөтөт.

Бүт аралыкта бирдей профилдерди кармаңыз. Сыноолордун ортосунда профилди алмаштыруу бир убакта эки өзгөрмөнү өлчөгөнүңүздү билдирет жана жыйынтык байкоо абдан кыйын болгон түрдө туура эмес болот.

Маршрутизатор колдосо, ошол жерде жазыңыз, же экинчиси туташып жатканда бир ноутбукта жазыңыз. Биринчи кардардын пакеттери токтогондо экинчисинин пакеттеринин пайда болушун көрүү кандайдыр бир туташкан белгиден да күчтүү далил.

Эгер чектөө маршрутизатор болсо

Өндүрүүчүнүн документтелген көп кардарлуу конфигурациясы бар болсо, аны колдонуңуз, же түзмөктү документи сизге керектүүнү айткан башкасы менен алмаштырыңыз. Бул көрксүз жооп жана микропрограмма жаңыртуусунан кийин тирүү калган жалгыз жооп.

Иштебегени — эки ар башка ноутбукка карай эки бирдей кирүү багыттоосун кошуу. Багыттоо маршрутизаторго келген трафикти кайда жөнөтүүнү айтат; ал пакеттин эки активдүү агымдын кайсынысына таандык экенин айтпайт, жана ошол эки маанилүүлүк — бузук.

Эгер маршрутизаторду алмаштыруу мүмкүн болбосо, бир кардарды башка жолдун артына коюңуз. Телефон хотспоту начар туруктуу чечим жана толук жакшы диагностикалык чечим.

Эгер чектөө дарбаза болсо

Өзүнчө адамдарга өзүнчө инсандыктарды бериңиз. Эки ноутбук колдонгон бир жалпы аккаунт — бир сессияга конфигурацияланган серверлерде ушул симптомду жараткан түзүлүш, жана эч кандай жергиликтүү конфигурация алыскы учта кабыл алынган чечимди оңдобойт.

Дарбазанын ээсинен кайсы саясат колдонулаарын сураңыз: ар бир аккаунтка бир сессия, ар бир сертификатка бир же такыр чектөө жок. Алардын жообу жаңы кирүү маалыматтары керекпи же жаңы маршрутизатор керекпи — ошону чечет.

Текшерүү — адамдар өткөрүп жиберүүчү бөлүк. Эки кардардан тең пайдалуу трафикти мурун ийгиликсиз болгон аралыктан узагыраак жүргүзүңүз, анткени эки ийгиликтүү кирүү ар биринде аутентификация бир жолу иштегенин гана далилдейт.