Mäert den zweete L2TP-Client den éischten? Liest d’Kapselung

Een Laptop hält en funktionéierenden Tunnel duerch den Büro-Router. En zweeten Laptop am selwechte Raum verbënnt sech, an den éischte fält aus. Wann dat de ganze Symptom ass, stinn nach dräi verschidde Grënn um Dësch, a wéi eng Korrektur gëllt, hänkt vun Saachen of, déi Dir nach net gemooss hutt. Den gedeelte Router ass relevant, awer net automatesch schëlleg, an de Protokoll och net.

Dräi Grënn, déi vum Kanapee aus identesch ausgesinn

Den éischte Kandidat ass de Ëmgang vum Router mat IPsec. Bëlleg Konsumenterouteren annoncéieren dacks Pass-Through a setzen en fir een Client zur Zäit ëm, well de Mechanismus een Peer verfollegt an zwou Laptopen hanner der selwechter ëffentlecher Adress net trenne kann. De Symptom ass genee dat, wat Dir erwaart: déi méi nei Sessioun gewënnt.

Den zweete ass de Kont. Vill VPN-Serveren erlaben eng Sessioun pro Identitéit a trennen déi méi al, wann déiselwecht Umeldungsinformatiounen sech erëm authentifizéieren, wat eng Richtlinnentscheedung um Gateway ass an näischt mam Router ze dinn huet. Sicht déi explizitt Message am Serverlog, ier Dir Hardware kaaft.

Den drëtte ass eng einfach falsch Konfiguratioun: zwee Profiler déi op déi selwecht Identitéit weisen, ee vun hinnen mat engem veralterten viru gedeelten Schlëssel oder engem Zertifikat, deen de Gateway net méi akzeptéiert. Dee weist sech meeschtens als feelgeschloen zweet Verbindung anstatt als Ausfall vun der éischter, sou datt d’Form vum Feeler Iech schonn eppes seet.

Wat L2TP/IPsec tatsächlech duerch de Router schéckt

IKE leeft iwwer UDP 500. Den Datenwee ass ESP, dat ass IP-Protokoll 50 an dréit iwwerhaapt keng TCP- oder UDP-Porten. En Router, deen nëmme Porten versteet, huet dofir näischt ze gräifen, an genee dofir gëtt et de Pass-Through-Mechanismus.

Mat NAT-Traversal gëtt ESP an UDP 4500 gekapselt. Elo huet de Router eng Quellport ze mappen, an all Laptop kritt seng eege Iwwersetzung, sou datt de Gateway zwee Stréim ka ënnerscheeden. Dat ass de Mechanismus, deen et iwwerhaapt méiglech mécht, datt méi Clienten hanner enger Adress funktionéieren.

Den Ënnerscheed ass wichteg, wann Dir d’Featurelëscht vun engem Router liest. En Etikett mat IPsec-Pass-Through seet Iech, datt de Hiersteller en aart Mechanismus huet; et seet Iech net, ob dee Mechanismus méi Clienten ënnerstëtzt oder wéi en sech verhält, wann deen zweete kënnt.

D’Dokumentatioun vun strongSwan zum NAT-Traversal beschreift d’Kapselung selwer, an dat ass deen Deel, deen Dir aus Paketopnamen ka verifizéieren an net aus enger Marketing-Säit.

Wéi Dir erausfannt, wéi ee Grond Dir tatsächlech hutt

Maacht véier Observatiounen a schreift all Resultat op. All Laptop eleng: funktionéiert et, a wéi laang? Béid gläichzäiteg: wien iwwerlieft? Den zweete Laptop op engem Handy-Hotspot: bleift den éischten uewen? An um Gateway: weist de Serverlog eng nei Sessioun, déi eng al ersetzt, oder weist en een Client, deen einfach stëll gëtt?

Déi Äntwerten trennen d’Kandidaten propper. Eng Ersatzmessage am Serverlog weist op d’Identitéitsrichtlinn. En Client, deen ophält Verkéier ze kréien, während de Router eng nei Iwwersetzung weist, weist op de Router. Zwee Clienten, déi allebéid IKE net fäerdeg maachen, weisen op d’Konfiguratioun oder d’Umeldungsinformatiounen.

Halt déi selwecht Profiler déi ganz Zäit. De Profil tëscht den Tester wiesselen heescht, datt Dir zwou Variabelen gläichzäiteg moosst, an d’Conclusioun wäert op eng Manéier falsch sinn, déi ganz schwéier ze bemierken ass.

Maacht um Router eng Opnam, wann en dat ënnerstëtzt, oder op engem Laptop, während deen aneren sech verbënnt. Ze gesinn, wéi d’Pakete vum zweete Client erschéngen, während déi vum éischten ophalen, ass e méi staarke Beweis wéi all verbonnen-Ikon.

Wann de Router d’Limite ass

Benotzt dem Hiersteller seng dokumentéiert Multi-Client-Konfiguratioun, wann et se gëtt, oder ersetzt d’Apparat duerch een, deem seng Dokumentatioun seet, wat Dir braucht. Dat ass eng onglamouréis Äntwert an déi eenzeg, déi en Firmware-Update iwwerlieft.

Wat net funktionéiert, ass zwee identesch agehend Weiderleitungen op zwee verschidde Laptopen derbäizesetzen. Eng Weiderleitung seet dem Router, wouhin den ukommende Verkéier soll, an net, zu wéien vun zwéi aktive Stréim e Paket gehéiert, an d’Ambiguitéit ass de Feeler.

Wann de Router net ka ersat ginn, setzt een Client hanner en anere Wee. En Handy-Hotspot ass eng schlecht permanent Léisung an eng vollkomm gutt diagnostesch.

Wann de Gateway d’Limite ass

Stellt getrennte Identitéiten fir getrennte Leit zur Verfügung. Een gedeelte Kont, deen zwee Laptope benotzen, ass déi Arrangement, déi dëse Symptom op Serveren erzeugt, déi fir eng eenzeg Sessioun konfiguréiert sinn, an keng lokal Konfiguratioun mécht eng Entscheedung um aneren Enn richteg.

Frot den Eegentemer vum Gateway, wéi eng Richtlinn gëllt: eng Sessioun pro Kont, eng pro Zertifikat oder guer keng Limite. Seng Äntwert entscheet, ob Dir nei Umeldungsinformatiounen oder en neie Router braucht.

D’Verifikatioun ass deen Deel, deen d’Leit iwwersprangen. Loosst nëtzlechen Verkéier vun de béide Clienten méi laang lafen wéi den Intervall, deen virdrun feelgeschloen huet, well zwee erfollegräich Umeldungen nëmme beweise, datt d’Authentifikatioun all Kéier eemol funktionéiert huet.