Vai otrais L2TP klients nogalina pirmo? Lasiet iekapsulējumu

Viens portatīvais dators uztur strādājošu tuneli caur biroja maršrutētāju. Otrs portatīvais dators tajā pašā telpā pievienojas, un pirmais nokrīt. Ja tas ir viss simptoms, uz galda joprojām ir trīs dažādi cēloņi, un tas, kura labošana attiecas, ir atkarīgs no lietām, ko vēl neesat izmērījis. Koplietotais maršrutētājs ir svarīgs, bet ne automātiski vainīgs, un protokols arī ne.

Trīs cēloņi, kas no dīvāna izskatās identiski

Pirmais kandidāts ir maršrutētāja attieksme pret IPsec. Lēti patērētāju maršrutētāji bieži reklamē caurlaidi un īsteno to vienam klientam vienlaikus, jo mehānisms seko vienam partnerim un nespēj atdalīt divus portatīvos datorus aiz vienas un tās pašas publiskās adreses. Simptoms ir tieši tāds, kā jūs gaidītu: uzvar jaunākā sesija.

Otrais ir konts. Daudzi VPN serveri atļauj vienu sesiju vienai identitātei un atvieno vecāko, kad tie paši akreditācijas dati atkal autentificējas, kas ir politikas lēmums pie vārtejas un nekādi nav saistīts ar jūsu maršrutētāju. Pirms aparatūras iegādes meklējiet šo skaidro ziņojumu servera žurnālā.

Trešais ir vienkārša nepareiza konfigurācija: divi profili norāda uz vienu un to pašu identitāti, vienam no tiem ir novecojusi iepriekš koplietotā atslēga vai sertifikāts, ko vārteja vairs nepieņem. Tas parasti izpaužas kā neizdevies otrais savienojums, nevis pirmā nokrišana, tāpēc kļūmes forma jau kaut ko jums saka.

Ko L2TP/IPsec patiesībā sūta caur maršrutētāju

IKE darbojas uz UDP 500. Datu ceļš ir ESP, tas ir IP protokols 50, un tas nemaz nenes TCP vai UDP ostas. Tāpēc maršrutētājam, kas saprot tikai ostas, nav aiz ko aizķerties, un tieši tāpēc pastāv caurlaides mehānisms.

Ar NAT pāreju ESP tiek iekapsulēts UDP 4500 iekšienē. Tagad maršrutētājam ir avota osta, ko kartēt, un katrs portatīvais dators saņem savu tulkojumu, tāpēc vārteja var atšķirt divas plūsmas. Šis ir mehānisms, kas vispār ļauj vairākiem klientiem aiz vienas adreses darboties.

Atšķirība ir svarīga, kad lasāt maršrutētāja funkciju sarakstu. Etiķete, kas saka IPsec caurlaide, jums saka, ka ražotājam ir kāds mehānisms; tā nesaka, vai šis mehānisms atbalsta vairākus klientus vai kā tas uzvedas, kad ierodas otrais.

strongSwan dokumentācija par NAT pāreju apraksta pašu iekapsulējumu, un tā ir daļa, ko varat pārbaudīt pēc pakešu ierakstiem, nevis pēc mārketinga lapas.

Kā uzzināt, kurš cēlonis jums patiešām ir

Veiciet četrus novērojumus un pierakstiet katru rezultātu. Katrs portatīvais dators atsevišķi: vai tas darbojas, un cik ilgi? Abi reizē: kurš izdzīvo? Otrais portatīvais dators tālruņa hotspotā: vai pirmais paliek? Un pie vārtejas: vai servera žurnāls rāda jaunu sesiju, kas aizstāj veco, vai rāda vienu klientu, kas vienkārši apklust?

Šīs atbildes tīri atdala kandidātus. Aizstāšanas ziņojums servera žurnālā norāda uz identitātes politiku. Klients, kas pārstāj saņemt trafiku, kamēr maršrutētājs rāda jaunu tulkojumu, norāda uz maršrutētāju. Divi klienti, kas abi nepabeidz IKE, norāda uz konfigurāciju vai akreditācijas datiem.

Visu laiku saglabājiet tos pašus profilus. Profila maiņa starp testiem nozīmē, ka mērāt divus mainīgos vienlaikus, un secinājums būs nepareizs tā, ka to ir ļoti grūti pamanīt.

Ierakstiet maršrutētājā, ja tas to atbalsta, vai vienā portatīvajā datorā, kamēr otrs pievienojas. Redzēt, kā parādās otrā klienta paketes, kamēr pirmā paketes apstājas, ir spēcīgāks pierādījums nekā jebkura savienojuma ikona.

Ja maršrutētājs ir ierobežojums

Izmantojiet ražotāja dokumentēto vairāku klientu konfigurāciju, ja tāda pastāv, vai nomainiet ierīci ar tādu, kuras dokumentācija saka to, kas jums nepieciešams. Tā ir neizteiksmīga atbilde, un tā ir vienīgā, kas pārdzīvo programmaparatūras atjauninājumu.

Tas, kas nedarbojas, ir divu identisku ienākošo pāradresāciju pievienošana diviem dažādiem portatīvajiem datoriem. Pāradresācija pasaka maršrutētājam, kur sūtīt ienākošo trafiku; tā nepaskaidro, kurai no divām aktīvajām plūsmām pieder pakete, un tieši šī neskaidrība ir kļūda.

Ja maršrutētāju nevar nomainīt, novietojiet vienu klientu aiz cita ceļa. Tālruņa hotspots ir slikts pastāvīgs risinājums un pilnīgi labs diagnostikas risinājums.

Ja vārteja ir ierobežojums

Nodrošiniet atsevišķas identitātes atsevišķiem cilvēkiem. Viens koplietots konts, ko izmanto divi portatīvie datori, ir tā kārtība, kas rada šo simptomu serveros, kas konfigurēti vienai sesijai, un neviena vietējā konfigurācija nelabo lēmumu, kas pieņemts otrā galā.

Pajautājiet vārtejas īpašniekam, kāda politika ir spēkā: viena sesija uz kontu, viena uz sertifikātu vai nekādu ierobežojumu. Viņu atbilde izlemj, vai jums vajag jaunus akreditācijas datus vai jaunu maršrutētāju.

Pārbaude ir tā daļa, ko cilvēki izlaiž. Palaidiet lietderīgu trafiku no abiem klientiem ilgāk par intervālu, kas iepriekš sabruka, jo divas veiksmīgas pieteikšanās pierāda tikai to, ka autentifikācija nostrādāja pa reizei katrā.