Otrais VPN klients salauza pirmo: atrodiet kopīgo resursu

Vakar sākotnējais klients darbojās. Šodien jaunpienācējs pieprasa savienojumu, kamēr vecākais profils apstājas posmā, kuru agrāk izgāja bez sūdzībām. Piekļuves dati šeit reti piedalās, un vārteja parasti ir nevainīga. Mainījies ir tas, ka divi VPN steiki tagad grib vienu un to pašu ekskluzīvo resursu, un labošana ir atkarīga no tā nosaukšanas. Izejiet cauri slāņiem, nevis pārinstalējiet abus.

Izejiet cauri četriem slāņiem secībā

VPN produktam vajag četrus resursus, kas var sadurties: fona pakalpojumu, kas bieži atsakās darboties divreiz, fiksētu portu, virtuālo adapteri vai kodola filtru, kas redz datu plūsmu pirms maršrutēšanas tabulas, un tiesības instalēt maršrutus pirms noklusējuma. Zināšana, kurš piekāpās, neskaidru konfliktu pārvērš vienā jautājumā ar pārbaudāmu atbildi.

Saistiet simptomu ar slāni, pirms kam pieskaraties. Klients, kas neieslēdzas, norāda uz pakalpojumu; tas, kas ieslēdzas un nekad nesarunājas, norāda uz portu; tas, kas pieslēdzas, kamēr otrs zaudē visu savienojumu, norāda uz filtru vai noklusējuma maršrutu. Pierakstiet šo saistījumu, jo tas ietaupa stundu lietotņu pārinstalēšanas cerībā.

Sāciet ar pakalpojumu, kas nedarbojas divreiz

Windows vidē uzņēmuma klients parasti ir vairāk nekā tunelis, jo līdzās profilam instalē pakalpojumu, filtra draiveri un dažreiz arī piekļuves datu sniedzēju. Pierakstiet, kuri pakalpojumi darbojās pirms izmaiņām un vēlreiz pēc tām, pēc tam salīdziniet abus sarakstus, nevis restartējiet, līdz kaut kas sāk darboties. Pakalpojumi var viens otru izslēgt arī ar atkarībām, kur viena palaišana aptur otru, un tas pats modelis parādās macOS ar launchd uzdevumiem un kopīgu dēmonu. Klients, kas ieslēdzas un iziet dažu sekunžu laikā, ziņo par īpašumtiesībām, nevis par konfigurāciju.

Izlasiet pakalpojuma stāvokli un tā žurnālu, pirms lasāt profilu. Pakalpojums, kas ieslēdzās un apstājās tajā pašā minūtē, ir modelis, kas jāmeklē, un tā paša notikumu žurnāls nosauc atkarību, kas to izstūma. Profils nevar salabot procesu, kas nedarbojas, un laiks, kas pavadīts to rediģējot, ir laiks, kas nav pavadīts pie īstā konflikta.

Pēc tam pajautājiet, kam pieder ports

Porta īpašumtiesības ir skaidrākais pierādījums, ko iegūsiet, jo piesaistes kļūda tieši nosauc konfliktu. Divas IKE implementācijas nevar abas atbildēt uz vienas un tās pašas vietējās adreses un UDP porta, un neviens atkārtojumu skaits to nemaina.

Get-NetUDPEndpoint -LocalPort 500,4500 | Select-Object LocalAddress,LocalPort,OwningProcess
netstat -ano | findstr :500
sudo lsof -nP -iUDP:500
ss -lunp | grep -E ':500|:4500'

Kura rinda vien atbilst jūsu platformai, vēlamā atbilde ir process un pakalpojums, kas to radīja. Ja klausītājs ir iebūvētais IKE pakalpojums, otrais klients ir iebrucējs; ja tas ir piegādātāja aģents, iebūvētais klients ir iebrucējs. Izlemiet, kurš drīkst startēt pieteikšanās laikā, un atspējojiet otra automātisko palaišanu, nevis nogaliniet to katrā sesijā.

Filtra draiveris atrodas zem jūsu maršrutiem

Tīkla filtra draiveris pārtver datu plūsmu starp adapteri un protokolu steiku, tāpēc tas var pārrakstīt vai bloķēt paketes neatkarīgi no tā, ko saka maršrutēšanas tabula. Tā pareizi izskatošs maršruts tiek ignorēts, un tāpēc veiksmīgs ping var stāvēt blakus pārlūkam, kas neko neielādē.

Piegādātāja komponenti arī piesaistās konkrētiem savienojumiem. Vecs filtrs, kas piesaistīts vienam adapterim, var neļaut citādi pareizam profilam pabeigt rokasspiedienu, un šī komponenta atsaistīšana no adaptera īpašībām ir šaurāka un atgriezeniskāka nekā produkta pilnīga noņemšana. Tā kā piesaiste ir katram savienojumam, salīdziniet adapterus, nevis visu steiku.

Izlemiet, kurš produkts pārvalda palaišanu, pēc tam pierakstiet

Līdzāspastāvēšana ir reāla tikai tad, kad divi klienti pēc dizaina aizņem dažādus slāņus, piemēram, IPsec steiks blakus starpniekserverim, kas apstrādā tikai lietotņu datu plūsmu. Kur abi grib vienu un to pašu portu, vienu un to pašu filtra slāni vai tiesības publicēt noklusējuma maršrutu, tie turpinās mainīties, un katra kļūme izskatīsies kā jauns defekts.

Izvēlieties īpašnieku apzināti. Formas, kas pārdzīvo restartu, ietver otrā klienta darbināšanu virtuālajā mašīnā, tā turēšanu atsevišķā aparatūrā vai standartizāciju uz vienu klientu, kas runā abos protokolos. Zaudētāja automātiskās palaišanas un pakalpojuma atspējošana ir mazāka izmaiņa nekā maršrutēšanas tabulas pārbūve pēc katras palaišanas, un to atceļ ar vienu iestatījuma labojumu.