L2TP/IPsec verbënnt sech an engem Netz a leeft an engem aneren an eng Zäitiwwerschreitung

Deen selwechte Laptop, deen selwechte Profil an dat selwecht Passwuert funktionéieren an engem Gebai a versoen an engem aneren. Dee Verglach ass dee nëtzlechsten Noweis am Ticket, an et ass meeschtens déi éischt Saach, déi verkaaft gëtt. Tëschent zwee Zougangsnetz geet den Austausch duerch eng aner Adressen-Iwwersetzung, aner Filteren an aner Router-Hëllefsprogrammer. De Client festhalen an nëmmen d'Netz wiesselen ass de Wee fir erauszefannen, wat dovunner wierklech wichteg ass.

Setzt de Client fest, ier Dir Netze vergläicht

Ännert näischt um Apparat, bis Dir eng Opzeechnung vum funktionéierende Fall hutt: Clientversioun, Profilinhalt, Servernumm an d'Zäit vun der erfollegräicher Verbindung. Reproduzéiert duerno de Feeler am zweeten Netz während der selwechter Sitzung, sou datt de Clientzoustand esou identesch wéi méiglech ass. E Profil, deen tëschent den zwou Versich geännert gëtt, mécht de ganze Verglach Ongëltegkeet. D'Zil ass eng eenzeg Variabel, an déi Variabel ass d'Netz.

Bestätegt als éischt den normale Internetzougang am feelerhaften Netz, abegraff engem Gäschteportal, wann et eng gëtt. E Portal, deen ni erfëllt gouf, produzéiert eng Zäitiwwerschreitung, déi genee wéi en gefilterten Tunnel ausgesäit, an déi Kontroll hëlt eng Minutt.

Véier Phase, véier verschidde Fehlermeldungen

Eng L2TP/IPsec-Verbindung geet duerch véier Phase, an RFC 3193 beschreift d'Arrangement, dat déi éischt zwee verbënnt. D'IKE-Verhandlung ass de Punkt, wou en gefilterte Wee eng stille Zäitiwwerschreitung produzéiert. D'IPsec-Authentifikatioun ass de Punkt, wou eng Onstëmmegkeet beim Zertifikat oder beim virdrun gedeelte Schlëssel amplaz eng explizit Oflehnung produzéiert. Den Opbau vum L2TP-Tunnel ass de Punkt, wou eng etabléiert Sécherheetsassociatioun nach ëmmer néiergendwou hiféiere kann, an d'PPP-Anmeldung ass de Punkt, wou eng falsch Anmeldedat um Enn e siichtbare Feeler produzéiert. Liest de Log fir déi Phase, déi gestoppt huet, net fir déi lescht gedréckt Zeil.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

De strongSwan-Log weist, ob den IKE-Austausch eng Propositioun erreecht huet an ob de Peer iwwerhaapt geäntwert huet, wat d'Erreechbarkeet vun der Politik trennt. De xl2tpd-Log hëlt do iwwer, wou IPsec ophält, sou datt eng etabléiert Sécherheetsassociatioun ouni eppes an deem Log op d'L2TP-Phase weist. D'Route-Ufro bestätegt, datt de Client op déi Serveradress schéckt, déi Dir denkt, wat eng veraltete DNS-Antwert fänkt, déi aus dem virege Netz iwwerholl gouf. Zesumme benennen déi dräi Ausgaben eng Phase amplaz engem Symptom.

Vergläicht d'NAT-Déift an d'Verhalen vum Hëllefsprogramm

D'NAT-Traversée verréckelt de geschützte Verkéier op d'UDP-Encapsulatioun wann eng Iwwersetzung erkannt gëtt, sou datt d'Portnummeren, déi eng funktionéierend Sitzung droen, sech vun deene vun engem stateschen Diagramm kënnen ënnerscheeden. Ee eenzegen Opbaupaket zouleescht beweist näischt iwwer de Rescht vum Austausch, an en externen Portscan kann Iech net soen, wéi de Peer mat valabelem authentifizéierte Verkéier ëmgeet. Eng zweet Iwwersetzungsschicht ännert d'Bild nach eng Kéier, well d'Mapping elo zweemol existéiert a mat zwou verschiddenen Zäitpläng ofleeft. Iwwersetzung op Carrier-Niveau bei enger mobiler Verbindung ass de gewéinlechen Grond, firwat e funktionéierende Bürosprofil op engem Handy-Hotspot versot.

D'Router-Hëllefsprogrammer variéiere souvill wéi d'Netzer. E puer Firmwareen interceptéieren a schreiwen den Austausch ëm, anerer ophalen just en ze verwerfen, an nach anerer applizéieren d'Astellung nëmmen an engem ale Modus. Liest dem Firmware seng eege Beschreiwung vun der Këscht, a wou et e Kompatibilitéitsmodus gëtt, testéiert en als eng bewosst Ännerung amplaz dräi op eemol.

Ausgängige Client, agängige Server: zwee verschidde Problemer

En ausgängige Client an en agängige Server brauchen ënnerschiddlech Erreechbarkeet flossop, an eng Duerchgangsfunktioun, déi dem éischten hëlleft, mécht näischt fir den zweeten. En Heemrouter, deen de Laptop engem wäite Gateway erreeche léisst, akzeptéiert doduerch nach keng agängig Verbindungen zu engem Server hannendrun. D'Verwiesselung vun deenen zwee schéckt Iech no Port-Weiderleitung sichen, déi ni de Problem war. Sagt, wéi eng Roll den Apparat spillt, dee feelt, ier Dir eppes vergläicht.

Nom enger ënnerstëtzter Ännerung widderholl déiselwecht Verbindung a notéiert d'Phase, déi se erreecht huet. Halt de funktionéierende Profil an d'Notiz iwwer dat feelerhaft Netz zesummen, a setzt d'Anmeldedaten net zréck a reinstalleéiert de Client net, well dat den Noweis verwërft, op deem de Verglach opgebaut war.