Firwat sech hannert demselwe Router just ee VPN-Client verbënnt

Zwee Laptope stinn um selwechten Heemnetzwierk, an de Büro-VPN akzeptéiert genee een vun hinnen. Den zweeten leeft entweder an en Timeout oder waart, bis den éischten sech trennt, an et huet keen tëschent den zwou Versich eng Client-Astellung ugepaakt. D'Zougangsdaten sinn déi selwecht, déi virun enger Minutt funktionéiert hunn, an dat ass den Hiweis, datt d'Authentifikatioun net de Feeler ass. Dräi Mechanismen erzeegen dëst Muster, an de Server säin eegene Log seet, wéi engem Dir géintiwwerstitt.

Liest de Log vum Gateway, ier Dir e Client ufaasst

Dem Server seng Opzeechnung vun de béide Versich beäntwert déi éischt Fro, an et beäntwert se op eng vun dräi Aarten. Daucht den zweeten Versuch ni an deem Log op, ass de Pak ni beim Lauschterer ukomm, an de Problem läit beim Heemrouter oder beim Wee vum Anbieter. Wann de Log e Versuch opzeechent an en ofleent, ass den Tunnel ukomm, also geet et ëm Identitéit, Lizenz oder eng Sessiounsgrenz an net ëm eppes um Kabel. Wann de Log eng erfollegräich Sessioun opzeechent, wärend de Client nach ëmmer e Feeler mellt, kuckt de Réckwee oder ob zwee Clienten déiselwecht Tunneladress kréien.

En Hotspot vum Handy trennt déi Famillen bëlleg: loosst den zweeten Client iwwer mobil Donnéeën lafen, wärend den éischten verbonne bleift. Erfolleg do weist op den Heemnetzwierk, an deeselwechte Feeler do weist op de Gateway, wat den Router onschëlleg léisst. Keng vun den zwou Resultaten ass eleng entscheedend, awer all een eliminéiert d'Halschent vum Sichraum an engem Versuch.

Schreift d'Resultat op, ier Dir eppes ännert, well déi dräi Logresultater zu dräi onofhängege Reparature féieren. Eng Notiz, déi nennt, wéi eng vun den dräi Dir gesinn hutt, ass méi wäert wéi e Screenshot vun engem Clientfeeler.

Wat de Router mat GRE an NAT-T mécht

PPTP ass den typeschen Delinquent: de Kontrollkanal ass TCP 1723, wärend de Datenwee GRE ass, also IP-Protokoll 47. Vill Konsumentroutere kommen mat engem PPTP-Hëllef, deen eng eenzeg Kontrollverbindung suivéiert, sou datt en zweeten Client hannert demselwechten NAT säi Kontrollkanal opmécht an duerno guer keen Datenwee kritt. Eng TCP-Port virun 47 weiderzeleeden mécht näischt fir GRE, well GRE eng Protokollnummer ass an net e Port.

L2TP iwwer IPsec verhält sech aus Design anescht: IKE benotzt UDP 500, NAT-Traversal réckelt d'geschützt Notzlaascht op UDP 4500, an d'Encapsulation existéiert just dofir, datt méi Clienten hannert enger Adress deeselwechte Gateway erreechen. Dat Design verhënnert net, datt e Gateway oder eng Zwëschekëscht eng Sessiounsgrenz pro Adress opzwingt, an aus dem Sofa gesinn déi zwee Feeler d'selwecht aus. Dem SoftEther säi eegene Protokoll huet déiselwecht Klass vu Problem: e Router ouni funktionéierend Duerchleet léisst den éischten Client aus dem LAN eran a verwërft den zweeten. Test de ALG- oder Duerchleetschalter vum Router an béide Positiounen, well en Hëllef, deen fir en ale Client geschriwwe gouf, Päck bescheidegen kann, déi en aktuellen schéckt.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Identitéitsgrenzen, déi wéi Transportgrenzen ausgesinn

Den Router ass net den eenzegen Verdächtegen, an de Log ënnerscheet en vun der Alternativ. Wann en OpenVPN-Server e gemeinsamen Numm op eng Tunneladress festleet, kréien béid Geräter déi Adress, an ouni duplicate-cn dréckt déi méi nei Sessioun déi méi al eraus. Dës Optioun anzeschalten léisst béid verbonne, awer léisst se mat enger Identitéit, engem Zertifikat an enger Widderruffentscheedung zréck, wat schlëmmer ass wéi et ausgesäit. D'zweet Gerät kann dann ni méi eleng widderruff ginn, also hëlt en Comfort-Schalter roueg eng Kontroll ewech, déi Dir spéider vläicht braucht.

Liest dem Server säi Journal an seng Statusdatei zesummen, well deen een d'Authentifikatiounsentscheedung weist an deen aneren, wien elo verbonne ass. Zwou Entréen mat demselwechte gemeinsamen Numm an enger virtueller Adress bestätegen eng Identitéitskollisioun an net eng Routergrenz. Kommerziell Gateways setzen hir eege Grenzen derbäi, wéi en Tarif mat just enger gläichzäiteger Sessioun, eng Lizenzzuel oder eng Regel déi eng Sessioun pro ëffentlecher Adress erlaabt, an keng Routerastellung ännert dorun eppes.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Passt d'Reparatur un de Logentrag un

Eng Oflehnung am Log verlaangt getrennt Zougangsdaten pro Gerät, eng méi héich Grenz vun deem, deen de Service bedreift, oder een zweeten Gateway-Endpunkt fir eng Maschinn. Wann keen zweeten Versuch den Server je erreecht, ass déi dauerhaft Reparatur en Router, deen de Protokoll weiderleet an méi wéi eng Sessioun hält, oder en Transport, deen de Router gutt handhabt, wéi een eenzegen TCP- oder UDP-Stroum. Tëschent deenen ze wielen ass eng Entscheedung iwwer d'Liewensdauer vun der Hardware, net iwwer Client-Astellungen.

Kopieert net de Profil vun engem funktionéierende Gerät op déi zweet Maschinn an erklärt d'Saach fir fäerdeg. Dat mécht aus engem Verbindungsproblem en Zougangskontrollproblem, well en verluerene Laptop net méi vun der Kopie ze ënnerscheeden ass, déi nach benotzt gëtt. Et verstoppt och den urspréngleche Feeler, deen zréckkënnt demools wéi en drëtt Gerät opdaucht.

Zwou lieweg Sessiounen iwwerpréiwen

Verbannt béid Geräter gläichzäiteg, start de virgesinn App op jiddwerengem, verbannt dann ee vun hinne nees a widderhlt et. En zweeten Ikon, deen eng Kéier opdaucht, beweist näischt iwwer Traffic, an eng Sessioun, déi no zéng Minutten erausfällt, ass en anere Feeler mat engem aneren Owner. Vergläicht, wat de Server um Enn mellt, mat deem, wat d'Benotzer gesinn hunn, well déi zwou Berichter dacks net iwwerenee stëmmen.

Wann déi zwou Sessiounen iwwerliewen an Traffic droen, hält d'Léisung, an d'Notiz, déi Dir am Ufank geschriwwen hutt, gëtt d'Opzeechnung vun deem, wat falsch war. Wann just eng iwwerliewt, gitt zréck op den éischte Schrëtt a kontrolléiert, wéi eng vun den dräi Logresultater Dir elo hutt, well d'Äntwert sech geännert huet vläicht. Routerhëllefen kënnen e Problem verstoppen, dat an engem aneren Netzwierk nees opdaucht, wärend eng Grenz pro Adress dem Benotzer follegt an net dem Gerät. Vun engem zweeten Netzwierk ze testen ass dee bëllegste Wee fir erauszefannen, wat Dir wierklech gefléckt hutt.