L2TP/IPsec prisijungia viename tinkle, o kitame baigiasi skirtasis laikas

Tas pats nešiojamasis kompiuteris, tas pats profilis ir tas pats slaptažodis veikia viename pastate, o kitame nepavyksta. Šis palyginimas yra naudingiausias įrodymas užklausoje, ir paprastai tai yra pirmas dalykas, kuris atmetamas. Tarp dviejų prieigos tinklų mainai praeina per kitokį adresų vertimą, kitokius filtrus ir kitokius maršrutizatoriaus pagalbininkus. Palikti klientą nepakeistą ir keisti tik tinklą yra būdas išsiaiškinti, kuri iš šių dalių turi reikšmės.

Užfiksuokite klientą prieš lygindami tinklus

Nieko nekeiskite įrenginyje, kol neturite veikiančio atvejo įrašo: kliento versijos, profilio turinio, serverio pavadinimo ir sėkmingo prisijungimo laiko. Tada atkurkite gedimą antrajame tinkle tos pačios sesijos metu, kad kliento būsena būtų kiek įmanoma vienodesnė. Profilis, pakeistas tarp dviejų bandymų, panaikina visą palyginimą. Tikslas yra vienas kintamasis, ir tas kintamasis yra tinklas.

Pirmiausia patvirtinkite įprastą interneto prieigą gedimo tinkle, įskaitant svečių portalą, jei jis yra. Portalas, kuris niekada nebuvo įvykdytas, sukelia laukimo pabaigą, kuri atrodo lygiai kaip filtruojamas tunelis, ir ši patikra užima minutę.

Keturi etapai, keturi skirtingi klaidų pranešimai

L2TP/IPsec ryšys pereina keturis etapus ir RFC 3193 aprašo išdėstymą, kuris susieja pirmuosius du. IKE derybos yra vieta, kur filtruojamas kelias sukelia tylią laukimo pabaigą. IPsec autentifikavimas yra vieta, kur sertifikato arba iš anksto bendrinamo rakto neatitikimas vietoj to sukelia aiškų atmetimą. L2TP tunelio nustatymas yra vieta, kur jau nustatytas saugumo ryšys vis tiek gali niekur nevesti, o PPP prisijungimas yra vieta, kur neteisingi prisijungimo duomenys pagaliau sukelia matomą gedimą. Skaitykite žurnalą apie etapą, kuris sustojo, o ne apie paskutinę išspausdintą eilutę.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

strongSwan žurnalas rodo, ar IKE mainai pasiekė pasiūlymą ir ar partneris apskritai atsakė, o tai atskiria pasiekiamumą nuo politikos. xl2tpd žurnalas perima ten, kur baigiasi IPsec, todėl nustatytas saugumo ryšys be nieko tame žurnale nurodo L2TP etapą. Maršruto užklausa patvirtina, kad klientas siunčia tuo serverio adresu, kurį manote esant, ir tai pagauna pasenusį DNS atsakymą, paveldėtą iš ankstesnio tinklo. Kartu trys išvestys įvardija etapą, o ne simptomą.

Palyginkite NAT gylį ir pagalbininko elgseną

NAT perėjimas perkelia apsaugotą srautą į UDP inkapsuliavimą kai aptinkamas vertimas, todėl portų numeriai, kuriais keliauja veikianti sesija, gali skirtis nuo statinėje schemoje esančių. Vieno sąrankos paketo leidimas nieko neįrodo apie likusią mainų dalį, o išorinis portų skenavimas negali pasakyti, kaip partneris elgiasi su galiojančiu autentifikuotu srautu. Antrasis vertimo sluoksnis vėl keičia vaizdą, nes susiejimas dabar egzistuoja du kartus ir baigiasi pagal du skirtingus tvarkaraščius. Vertimas operatoriaus lygmeniu mobiliojo ryšio prisijungime yra įprasta priežastis, kodėl veikiantis biuro profilis nepavyksta telefono prieigos taške.

Maršrutizatoriaus pagalbininkai skiriasi tiek pat, kiek tinklai. Kai kuri programinė įranga perima ir perrašo mainus, kita tik nustoja juos mesti, o dar kita taiko nustatymą tik senesniame režime. Perskaitykite pačios programinės įrangos žymės langelio aprašymą ir ten, kur yra suderinamumo režimas, išbandykite jį kaip vieną sąmoningą pakeitimą, o ne tris iš karto.

Išeinantis klientas, įeinantis serveris: dvi skirtingos problemos

Išeinančiam klientui ir įeinančiam serveriui reikia skirtingo pasiekiamumo aukštyn, o praleidimo funkcija, kuri padeda pirmajam, nieko nedaro antrajam. Namų maršrutizatorius, leidžiantis nešiojamajam kompiuteriui pasiekti nuotolinius vartus, tuo nepriima įeinančių jungčių į serverį už jų. Sumaišę abu, ieškosite portų persiuntimo, kuris niekada nebuvo problema. Prieš ką nors lygindami, nurodykite, kokį vaidmenį atlieka gedęs įrenginys.

Po palaikomo pakeitimo pakartokite tą patį prisijungimą ir užrašykite pasiektą etapą. Laikykite kartu veikiantį profilį ir pastabą apie gedimo tinklą, ir neatstatykite prisijungimo duomenų bei neįdiekite kliento iš naujo, nes tai atmeta įrodymus, kuriais buvo paremtas palyginimas.