Mac-VPN verbënnt eng Kéier an da leeft et an en Timeout: botzt den IKE-Daemon

En Mac, deen eng Kéier pro Start verbënnt, hält eng al IKE-Associatioun. Fannt den Daemon, deen UDP 500 huet, startet säi Job nei a kontrolléiert d’Fënster um Server.

Déi éischt Verbindung no engem Neistart funktionnéiert. All Versuch duerno hänkt an der Verbindungsphas an enger Zäit an definitiv am Timeout, an déi eenzeg zouverlässeg Kur ass nach en Neistart. Dëst Muster ass kee Profilproblem a kee Problem mat den Zougangsdaten. Eppes am Hannergrond hält nach de Zoustand vum virege Versuch, an de nächsten Versuch kollidéiert domat.

Op macOS ass dat Eppes meeschtens den IKE-Daemon.

D’Muster: eng Verbindung, dann en Timeout

Eng Verbindung, déi genee eng Kéier pro Start funktionnéiert, weist op en Zoustand, deen eng Trennung iwwersteet, awer keen Neistart. Profiler iwwerstinn béides, also ass de Profil net d’Variabel. Zougangsdaten iwwerstinn och béides, ausser de Server spärrt de Kont. Wat sech beim Neistart ännert, ass d’Sëtz vun de lafenden Daemone an d’Sockets, déi se halen.

Dat enkelt d’Enquête an, ier Dir ee Log opmaacht. D’Fro gëtt, wéi ee Prozess den IKE-Port huet a wat en mengt, datt en mécht.

Zwee Daemonen, ee Port

De System leeft racoon wann eng Verbindung IKE Versioun 1 schwätzt. Aktuell Versiounen bréngen och iked fir IKEv2 an de méi neie IPsec-Stack mat. Béid kënnen UDP 500 an UDP 4500 besetzen, a béid kënnen eng hallef oppe Sécherheetsassociatioun halen, nodeems e Verbindungsversuch am Passwuertfeld ofgebrach oder duerch eng Netzwierkännerung ënnerbrach gouf.

Wann dat geschitt, fänkt den nächsten Versuch net propper un. En probéiert ze verhandelen, wärend déi al Associatioun nach den Zoustand vum Partner besetzt, an den Austausch stockt, amplaz mat engem kloere Feeler ze scheiteren. De Benotzer gesäit e Spinner, dann en Timeout.

Fannt den Eegentemer, ier Dir eppes ëmbréngt, well d’Äntwert bestëmmt, wéi ee Service Dir nei startet a wéi ee Log Dir duerno liest.

sudo lsof -i :500 -i :4500
ps -ef | grep -E "racoon|iked"

Liest d’Ausgab als zwou Tatsaachen: wéi ee Prozess den Port hält, an ob méi wéi een do ass. Zwee IKE-Daemonen, déi ëm dee selwechte Socket konkurréieren, erkläre vill onreegelméissegt Verhalen, dat wéi en onstabele Server aussäit.

Start den Job nei, net de Prozess

Op eelere Systemer ass et duergaangen, de Prozess ëmzebréngen an déi nächst Verbindung en nees starten ze loossen. Op aktuellen Versiounen gëtt den Daemon vu launchd geréiert, an nëmmen dem Prozess e Signal ze schécken, kann den Job an engem Zoustand loossen, wou en weder leeft nach geplangt ass ze starten. Stoppt a start den Job.

sudo launchctl stop com.apple.racoon
sudo launchctl start com.apple.racoon

Wann launchd keng Opzeechnung vum Job huet, forcéiert de Prozess mam Numm ëmzebréngen och nach eng nei Verhandlung beim nächsten Versuch. Den Test ass a béide Fäll deeselwechten: kee Prozess sollt den Port halen, wann Dir nees probéiert ze verbannen. Bestätegt dat mat deeselwechter Kommando lsof amplaz ze unhuelen, datt den Neistart funktionnéiert huet.

Verbannt Iech dann eng Kéier a liest de Client-Log vun Ufank un. Eng Verhandlung, déi iwwer d’Phas 1 erausgeet an dann en Transmissiounsfeeler mëddelt, widderhëlt de lokale Socketproblem; eng Verhandlung, déi de Partner ofleet ass en ganz anere Billjee.

Wann de Server deen ass, deen ofleet

Net all zweet Verbindung schléit lokal feel. E Server kann en neie Login fir eng fest Fënster no enger Trennung ofleenen, an den Timeout um Client gesäit identesch aus wéi en hänke gebliewenen Daemon. Den Ënnerscheed ass bëlleg: wann den Neistart vum Daemon net hëlleft, awer en anere Kont sech direkt verbënnt, ass d’Fënster op der Serversäit an de Mac war ni de Problem.

D’Politik vum gedeelten Tunnel produzéiert déiselwecht Form aus der anerer Richtung. En Server, deen de ganze Verkéier am Tunnel verlaangt, verwäert e Client, dee fir gedeelten Tunnel ageriicht ass, wärend der Verhandlung, an de Client mëddelt en Timeout amplaz eng Politik-Ablehnung. De Profil ëmzestellen, fir alles duerch den Tunnel ze schécken, kann en zum Verbannen bréngen, awer dat ass eng Politikentscheedung mat dem Netzwierkbesëtzer, keng Reparatur déi een heemlech ubréngt.

Liest de Log vum Partner, ier Dir de Client nees ännert. Eng Oflehnung, eng Politik-Diskrepanz an e stille Verwerfen sinn dräi verschidde Grënn, déi um Mac-Bildschierm all wéi „verbënnt“ ausgesinn.

Méi al Clienten an de 64-Bit-Kernel

Den ale Cisco IPSec-Client lued eng Kernel-Erweiderung, déi fir 32-Bit- a PowerPC-Systemer gebaut gouf. Op engem Mac, deen an den 64-Bit-Kernel start, kann déi Erweiderung net geluede ginn, an de Client schléit fréi mat Feeler 51 feel, well en d’VPN-Subsystem iwwerhaapt net erreecht. Keng nach sou heefeg Neistarts vum Daemon reparéieren eng Kernel-Erweiderung mat der falscher Architektur.

D’Erweiderung nees ze lueden kann eng Zäit laang fonctionnéieren an dann beim nächste Start erëm feelen. Déi dauerhaft Äntwerten sinn, den eelere Kernel ze fueren, wou deen nach ënnerstëtzt gëtt, oder op de agebaute Client ze wiesselen, dee mam System kënnt. Kontrolléiert d’Architektur, ier Dir en Owend mat engem Drëttanbieter-Client verbréngt, dee sech net luede léisst.

  • Reproduzéiert eemol, da kontrolléiert, wéi een Daemon UDP 500 huet, ier Dir de Profil ufaasst.
  • Liest den éischte Feeler no der Phas 1: en Transmissiounsfeeler deit op de lokale Socket.
  • Start den launchd-Job nei, net nëmmen de Prozess, a bestätegt, datt den Port fräi ass.
  • Probéiert en zweete Kont, fir eng Serversäit-Reauthentifikatiounsfënster vun engem Clientfeeler ze trennen.
  • Notéiert d’Kernelarchitektur, ier Dir dem Client d’Schold gitt.

En VPN, deen genee eng Kéier funktionnéiert, ass e Zoustandsproblem, bis dat Géigendeel bewisen ass. Den Daemon botzen ass méi séier wéi en Neistart, an et erhält d’Logbeweiser, déi en Neistart verhäit hätt.

Ähnlech Artikelen