L2TP/IPsec savienojas vienā tīklā un citā nokavējas

Tas pats klēpjdators, tas pats profils un tā pati parole strādā vienā ēkā un neizdodas citā. Šis salīdzinājums ir noderīgākais pierādījums pieteikumā, un parasti tas ir pirmais, ko atmet. Starp diviem piekļuves tīkliem apmaiņa iet caur citādu adrešu tulkošanu, citiem filtriem un citiem maršrutētāja palīgiem. Klienta nemainīšana un tikai tīkla maiņa ir veids, kā noskaidrot, kura no šīm lietām ir svarīga.

Nofiksējiet klientu pirms tīklu salīdzināšanas

Neko nemainiet ierīcē, kamēr nav fiksēts strādājošais gadījums: klienta versija, profila saturs, servera nosaukums un veiksmīgā savienojuma laiks. Pēc tam atkārtojiet kļūmi otrajā tīklā tajā pašā sesijā, lai klienta stāvoklis būtu pēc iespējas identiskāks. Starp abiem mēģinājumiem rediģēts profils padara visu salīdzinājumu nederīgu. Mērķis ir viens mainīgais, un šis mainīgais ir tīkls.

Vispirms apstipriniet parastu interneta piekļuvi tīklā, kurā ir kļūme, tostarp viesu portālu, ja tāds ir. Portāls, kas nekad nav izpildīts, rada nokavēšanos, kas izskatās tieši tāpat kā filtrēts tunelis, un šī pārbaude aizņem minūti.

Četri posmi, četras atšķirīgas kļūdu ziņas

L2TP/IPsec savienojums iziet četrus posmus, un RFC 3193 apraksta kārtību, kas saista pirmos divus. IKE sarunas ir vieta, kur filtrēts ceļš rada klusu nokavēšanos. IPsec autentifikācija ir vieta, kur sertifikāta vai iepriekš koplietotas atslēgas neatbilstība tā vietā rada skaidru noraidījumu. L2TP tuneļa iestatīšana ir vieta, kur jau izveidota drošības asociācija tomēr var nekur nevest, un PPP pieteikšanās ir vieta, kur nepareizi pieteikšanās dati beidzot rada redzamu kļūmi. Lasiet žurnālu par posmu, kas apstājās, nevis par pēdējo izdrukāto rindu.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

strongSwan žurnāls parāda, vai IKE apmaiņa sasniedza priekšlikumu un vai partneris vispār atbildēja, kas atdala sasniedzamību no politikas. xl2tpd žurnāls pārņem tur, kur IPsec beidzas, tāpēc izveidota drošības asociācija bez nekā šajā žurnālā norāda uz L2TP posmu. Maršruta vaicājums apstiprina, ka klients sūta uz servera adresi, ko jūs domājat, un tas noķer novecojušu DNS atbildi, kas mantota no iepriekšējā tīkla. Kopā trīs izvades nosauc posmu, nevis simptomu.

Salīdziniet NAT dziļumu un palīga uzvedību

NAT šķērsošana pārvieto aizsargāto satiksmi uz UDP iekapsulēšanu kad tiek konstatēta tulkošana, tāpēc portu numuri, kas pārvadā strādājošu sesiju, var atšķirties no tiem statiskā diagrammā. Viena iestatīšanas paketa atļaušana neko nepierāda par pārējo apmaiņu, un ārēja portu skenēšana nevar pateikt, kā partneris izturas pret derīgu autentificētu satiksmi. Otrs tulkošanas slānis atkal maina ainu, jo kartējums tagad pastāv divreiz un beidzas pēc diviem dažādiem grafikiem. Tulkošana operatora līmenī mobilajā savienojumā ir parastais iemesls, kāpēc strādājošs biroja profils neizdodas telefona piekļuves punktā.

Maršrutētāja palīgi atšķiras tikpat ļoti kā tīkli. Daži firmware pārtver un pārraksta apmaiņu, citi tikai pārstāj to izmest, un citi iestatījumu piemēro tikai vecākā režīmā. Izlasiet pašas firmware aprakstu par izvēles rūtiņu, un tur, kur pastāv saderības režīms, pārbaudiet to kā vienu apzinātu izmaiņu, nevis trīs uzreiz.

Izejošais klients, ienākošais serveris: divas dažādas problēmas

Izejošajam klientam un ienākošajam serverim vajadzīga atšķirīga sasniedzamība augšup, un caurlaides funkcija, kas palīdz pirmajam, neko nedara otrajam. Mājas maršrutētājs, kas ļauj klēpjdatoram sasniegt attālu vārteju, ar to nepieņem ienākošos savienojumus uz serveri aiz tā. Ja abus sajaucat, jūs sūtīsiet meklēt portu pāradresāciju, kas nekad nav bijusi problēma. Pirms kaut ko salīdzināt, norādiet, kāda loma ir ierīcei, kurai ir kļūme.

Pēc atbalstītas izmaiņas atkārtojiet to pašu savienojumu un pierakstiet sasniegto posmu. Turiet kopā strādājošo profilu un piezīmi par tīklu ar kļūmi, un neatjaunojiet pieteikšanās datus un nepārinstalējiet klientu, jo tas atmet pierādījumus, uz kuriem tika balstīts salīdzinājums.