Antrasis VPN klientas sugadino pirmąjį: raskite bendrą išteklių

Vakar pradinis klientas veikė. Šiandien naujokas reikalauja ryšio, o senesnis profilis sustoja tame etape, kurį anksčiau praeidavo be nusiskundimų. Prisijungimo duomenys čia retai dalyvauja, o tinklų sietuvas paprastai nekaltas. Pasikeitė tai, kad dvi VPN dėklės dabar nori to paties išskirtinio ištekliaus, o taisymas priklauso nuo jo įvardijimo. Eikite per sluoksnius, o ne perįdiekite abu.

Eikite per keturis sluoksnius iš eilės

VPN produktui reikia keturių išteklių, kurie gali susidurti: foninės paslaugos, kuri dažnai atsisako veikti du kartus, fiksuoto prievado, virtualaus adapterio ar branduolio filtro, kuris mato srautą prieš maršrutizavimo lentelę, ir teisės įdiegti maršrutus prieš numatytąjį. Žinojimas, kuris nusileido, neaiškų konfliktą paverčia vienu klausimu su patikrinamu atsakymu.

Susiekite simptomą su sluoksniu prieš ką nors liesdami. Klientas, kuris neįsijungia, rodo į paslaugą; tas, kuris įsijungia ir niekada nesidera, rodo į prievadą; tas, kuris prisijungia, kol kitas praranda visą ryšį, rodo į filtrą arba numatytąjį maršrutą. Užsirašykite šį susiejimą, nes jis sutaupo valandą programų perįdiegimo viltyje.

Pradėkite nuo paslaugos, kuri neveikia du kartus

Windows sistemoje įmonės klientas paprastai yra daugiau nei tunelis, nes kartu su profiliu įdiegia paslaugą, filtro tvarkyklę ir kartais prisijungimo duomenų teikėją. Užrašykite, kurios paslaugos veikė prieš pakeitimą ir vėl po jo, tada palyginkite du sąrašus, o ne perkraukite, kol kažkas pradės veikti. Paslaugos gali viena kitą išstumti ir per priklausomybes, kai vienos paleidimas sustabdo kitą, ir tas pats modelis matomas macOS su launchd užduotimis ir bendru demonu. Klientas, kuris įsijungia ir išeina per kelias sekundes, praneša apie nuosavybę, o ne apie konfigūraciją.

Perskaitykite paslaugos būseną ir jos žurnalą prieš skaitydami profilį. Paslauga, kuri įsijungė ir sustojo tą pačią minutę, yra modelis, kurio reikia ieškoti, o jos pačios įvykių žurnalas įvardija priklausomybę, kuri ją išstūmė. Profilis negali pataisyti neveikiančio proceso, o laikas, praleistas jį redaguojant, yra laikas, nepraleistas ties tikruoju konfliktu.

Tada paklauskite, kam priklauso prievadas

Prievado nuosavybė yra aiškiausias įrodymas, kurį gausite, nes prisirišimo klaida tiesiogiai įvardija konfliktą. Dvi IKE realizacijos negali abi atsakyti tuo pačiu vietiniu adresu ir UDP prievadu, ir joks kartojimų skaičius to nepakeis.

Get-NetUDPEndpoint -LocalPort 500,4500 | Select-Object LocalAddress,LocalPort,OwningProcess
netstat -ano | findstr :500
sudo lsof -nP -iUDP:500
ss -lunp | grep -E ':500|:4500'

Kuri eilutė bebūtų tinkama jūsų platformai, norimas atsakymas yra procesas ir paslauga, kuri jį sukūrė. Jei klausytojas yra įtaisytoji IKE paslauga, antrasis klientas yra įsibrovėlis; jei tai tiekėjo agentas, įtaisytasis klientas yra įsibrovėlis. Nuspręskite, kuris gali paleisti prisijungus, ir išjunkite kito automatinį paleidimą, o ne žudykite jį kiekvienos sesijos metu.

Filtro tvarkyklė yra žemiau jūsų maršrutų

Tinklo filtro tvarkyklė perima srautą tarp adapterio ir protokolų dėklės, todėl gali perrašyti ar blokuoti paketus, kad ir ką sakytų maršrutizavimo lentelė. Taip teisingai atrodantis maršrutas ignoruojamas, ir todėl sėkmingas ping gali stovėti šalia naršyklės, kuri nieko neįkelia.

Tiekėjo komponentai taip pat prisiriša prie konkrečių ryšių. Senas filtras, prisirišęs prie vieno adapterio, gali sutrukdyti kitaip teisingam profiliui baigti rankos paspaudimą, o to komponento atsiejimas nuo adapterio savybių yra siauresnis ir labiau atgręžiamas nei visiškas produkto pašalinimas. Kadangi prisirišimas yra kiekvienam ryšiui, lyginkite adapterius, o ne visą dėklę.

Nuspręskite, kuris produktas valdo paleidimą, tada užrašykite

Sugyvenimas realus tik kai du klientai pagal dizainą užima skirtingus sluoksnius, pavyzdžiui, IPsec dėklė šalia tarpinio serverio, kuris tvarko tik programų srautą. Kai abu nori to paties prievado, to paties filtro sluoksnio ar teisės skelbti numatytąjį maršrutą, jie toliau keisis vietomis, ir kiekviena klaida atrodys kaip naujas gedimas.

Pasirinkite savininką sąmoningai. Formos, kurios išgyvena perkrovimą, apima antrojo kliento paleidimą virtualioje mašinoje, jo laikymą atskiroje techninėje įrangoje arba standartizavimą viename kliente, kuris kalba abiem protokolais. Pralaimėjusiojo automatinio paleidimo ir paslaugos išjungimas yra mažesnis pakeitimas nei maršrutizavimo lentelės atkūrimas po kiekvieno paleidimo, ir jis atšaukiamas vienu nustatymo pakeitimu.