Ar antrasis L2TP klientas nužudo pirmąjį? Skaitykite inkapsuliavimą

Vienas nešiojamas kompiuteris palaiko veikiančią tunelį per biuro maršrutizatorių. Antras nešiojamas kompiuteris toje pačioje patalpoje prisijungia, ir pirmasis atkrenta. Jei tai visas simptomas, ant stalo vis dar trys skirtingos priežastys, ir kuri pataisa taikoma, priklauso nuo dalykų, kurių dar neišmatavote. Bendras maršrutizatorius yra svarbus, bet ne automatiškai kaltas, o protokolas taip pat ne.

Trys priežastys, kurios nuo sofos atrodo vienodai

Pirmasis kandidatas yra maršrutizatoriaus elgsena su IPsec. Pigūs vartotojiški maršrutizatoriai dažnai reklamuoja pralaidą ir įgyvendina ją vienam klientui vienu metu, nes mechanizmas seka vieną partnerį ir negali atskirti dviejų nešiojamų kompiuterių už to paties viešo adreso. Simptomas yra būtent toks, kokio tikėtumėtės: naujesnė sesija laimi.

Antroji yra paskyra. Daugelis VPN serverių leidžia vieną sesiją vienai tapatybei ir atjungia senesnę, kai tie patys prisijungimo duomenys autentifikuojami iš naujo, o tai yra taisyklės sprendimas ties šliuzu ir nieko bendra su jūsų maršrutizatoriumi neturi. Prieš pirkdami aparatinę įrangą, ieškokite to aiškaus pranešimo serverio žurnale.

Trečioji yra paprasta neteisinga konfigūracija: du profiliai nurodo tą pačią tapatybę, vienas jų su pasenusiu iš anksto bendrinamu raktu arba sertifikatu, kurio šliuzas nebeatpažįsta. Tai paprastai pasireiškia kaip nepavykęs antrasis ryšys, o ne pirmojo nutrūkimas, tad gedimo forma jau kažką jums sako.

Ką L2TP/IPsec iš tikrųjų siunčia per maršrutizatorių

IKE veikia per UDP 500. Duomenų kelias yra ESP, tai IP protokolas 50 ir jis visai netransportuoja TCP ar UDP prievadų. Todėl maršrutizatorius, suprantantis tik prievadus, neturi už ko užkabinti, ir būtent todėl egzistuoja pralaidos mechanizmas.

Su NAT perėjimu ESP įkapsuliuojamas UDP 4500 viduje. Dabar maršrutizatorius turi šaltinio prievadą atvaizduoti, ir kiekvienas nešiojamas kompiuteris gauna savo vertimą, tad šliuzas gali atskirti du srautus. Tai mechanizmas, kuris apskritai leidžia keliems klientams už vieno adreso veikti.

Skirtumas svarbus, kai skaitote maršrutizatoriaus funkcijų sąrašą. Etiketė, sakanti IPsec pralaida, pasako, kad gamintojas turi kokį nors mechanizmą; ji nepasako, ar tas mechanizmas palaiko kelis klientus, ar kaip jis elgiasi, kai atvyksta antrasis.

strongSwan dokumentacija apie NAT perėjimą aprašo pačią inkapsuliaciją, ir tai yra dalis, kurią galite patikrinti iš paketų įrašų, o ne iš rinkodaros puslapio.

Kaip sužinoti, kuri priežastis iš tikrųjų yra

Atlikite keturis stebėjimus ir užrašykite kiekvieną rezultatą. Kiekvienas nešiojamas kompiuteris atskirai: ar veikia, ir kiek ilgai? Abu kartu: kuris išlieka? Antras nešiojamas kompiuteris telefono hotspote: ar pirmasis laikosi? Ir ties šliuzu: ar serverio žurnalas rodo naują sesiją, kuri pakeičia seną, ar rodo vieną klientą, kuris tiesiog nutyla?

Tie atsakymai švariai atskiria kandidatus. Pakeitimo pranešimas serverio žurnale nurodo tapatybės taisyklę. Klientas, kuris nustoja gauti srautą, kol maršrutizatorius rodo naują vertimą, nurodo maršrutizatorių. Du klientai, kurie abu nebaigia IKE, nurodo konfigūraciją arba prisijungimo duomenis.

Visą laiką laikykitės tų pačių profilių. Profilio keitimas tarp testų reiškia, kad matuojate du kintamuosius vienu metu, ir išvada bus klaidinga tokiu būdu, kurį labai sunku pastebėti.

Fiksuokite maršrutizatoriuje, jei jis tai palaiko, arba viename nešiojamame kompiuteryje, kol kitas jungiasi. Matyti, kaip atsiranda antrojo kliento paketai, kol pirmojo paketai sustoja, yra stipresnis įrodymas nei bet kokia prisijungimo piktograma.

Jei maršrutizatorius yra apribojimas

Naudokite gamintojo dokumentuotą kelių klientų konfigūraciją, jei ji egzistuoja, arba pakeiskite įrenginį tokiu, kurio dokumentacija sako, ko jums reikia. Tai neįspūdingas atsakymas ir vienintelis, kuris išgyvena programinės įrangos atnaujinimą.

Tai, kas neveikia, yra dviejų vienodų įeinančių peradresavimų pridėjimas dviem skirtingiems nešiojamiems kompiuteriams. Peradresavimas pasako maršrutizatoriui, kur siųsti atvykstantį srautą; jis nepasako, kuriam iš dviejų aktyvių srautų priklauso paketas, ir tas neapibrėžtumas yra klaida.

Jei maršrutizatoriaus pakeisti negalima, pastatykite vieną klientą už kito kelio. Telefono hotspotas yra blogas nuolatinis sprendimas ir visiškai geras diagnostinis.

Jei šliuzas yra apribojimas

Suteikite atskiras tapatybes atskiriems žmonėms. Viena bendra paskyra, kurią naudoja du nešiojami kompiuteriai, yra ta tvarka, kuri sukelia šį simptomą serveriuose, sukonfigūruotuose vienai sesijai, ir jokia vietinė konfigūracija nepataiso sprendimo, priimto kitame gale.

Paklauskite šliuzo savininko, kokia taisyklė galioja: viena sesija vienai paskyrai, viena vienam sertifikatui ar jokios ribos. Jų atsakymas nusprendžia, ar jums reikia naujų prisijungimo duomenų, ar naujo maršrutizatoriaus.

Patikrinimas yra ta dalis, kurią žmonės praleidžia. Paleiskite naudingą srautą iš abiejų klientų ilgiau nei intervalas, kuris anksčiau žlugdavo, nes du sėkmingi prisijungimai įrodo tik tai, kad autentifikacija suveikė po kartą kiekvienam.