Kāpēc aiz viena un tā paša maršrutētāja pieslēdzas tikai viens VPN klients

Divi portatīvie datori atrodas vienā mājas tīklā, un biroja VPN pieņem tieši vienu no tiem. Otrais vai nu gaida līdz taimautam, vai gaida, kamēr pirmais atslēdzas, un neviens starp abiem mēģinājumiem nav aizticis klienta iestatījumu. Piekļuves dati ir tie paši, kas strādāja pirms minūtes, un tā ir pazīme, ka autentifikācija nav kļūmes cēlonis. Šo modeli rada trīs mehānismi, un paša servera žurnāls pasaka, ar kuru jūs saskaraties.

Izlasiet vārtejas žurnālu pirms klienta aiztikšanas

Servera ieraksts par abiem mēģinājumiem atbild uz pirmo jautājumu, un atbild vienā no trim veidiem. Ja otrais mēģinājums tajā žurnālā nekad neparādās, pakete nekad nav sasniegusi klausītāju, un problēma pieder mājas maršrutētājam vai pakalpojumu sniedzēja ceļam. Ja žurnāls fiksē mēģinājumu un noraida to, tunelis ir pienācis, tātad jautājums ir identitāte, licence vai sesiju ierobežojums, nevis kaut kas uz vada. Ja žurnāls fiksē veiksmīgu sesiju, kamēr klients joprojām ziņo par kļūmi, aplūkojiet atgriešanās ceļu vai to, ka diviem klientiem tiek dota viena un tā pati tuneļa adrese.

Tālruņa piekļuves punkts šīs ģimenes lēti atdala: palaidiet otro klientu mobilajos datos, kamēr pirmais paliek pieslēgts. Panākumi tur norāda uz mājas tīklu, un tā pati neveiksme tur norāda uz vārteju, kas maršrutētāju atstāj nevainīgu. Neviens rezultāts pats par sevi nav izšķirošs, bet katrs vienā mēģinājumā novērš pusi meklēšanas telpas.

Pierakstiet iznākumu pirms kaut kā maiņas, jo trīs žurnāla iznākumi ved pie trim nesaistītiem labojumiem. Piezīme, kas nosauc, kuru no trim jūs redzējāt, ir vērtīgāka par klienta kļūdas ekrānuzņēmumu.

Ko maršrutētājs dara ar GRE un NAT-T

PPTP ir klasiskais vaininieks: vadības kanāls ir TCP 1723, bet datu ceļš ir GRE, IP protokols 47. Daudziem sadzīves maršrutētājiem ir PPTP palīgs, kas seko vienam vadības savienojumam, tāpēc otrs klients aiz tā paša NAT atver savu vadības kanālu un pēc tam vispār nesaņem datu ceļu. TCP porta ar numuru 47 pāradresēšana GRE neko nedod, jo GRE ir protokola numurs, nevis ports.

L2TP virs IPsec uzvedas citādi jau pēc konstrukcijas: IKE izmanto UDP 500, NAT caureja pārvieto aizsargāto kravu uz UDP 4500, un iekapsulēšana pastāv tieši tāpēc, lai vairāki klienti aiz vienas adreses sasniegtu to pašu vārteju. Šī konstrukcija netraucē vārtejai vai starpniekierīcei noteikt sesiju ierobežojumu katrai adresei, un no dīvāna abas kļūmes izskatās vienādi. SoftEther pašu protokolam ir tā pati problēmu klase: maršrutētājs bez strādājošas caurlaides ielaiž pirmo klientu no vietējā tīkla un nomet otru. Pārbaudiet maršrutētāja ALG vai caurlaides slēdzi abos stāvokļos, jo palīgs, kas rakstīts vecākam klientam, var sabojāt paketes, ko sūta pašreizējais.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Identitātes ierobežojumi, kas izskatās kā transporta ierobežojumi

Maršrutētājs nav vienīgais aizdomās turamais, un žurnāls to atšķir no alternatīvas. Kad OpenVPN serveris piesaista kopīgu vārdu vienai tuneļa adresei, abas ierīces saņem šo adresi, un bez duplicate-cn jaunākā sesija izspiež vecāko. Šīs opcijas ieslēgšana ļauj abiem palikt pieslēgtiem, bet atstāj tās ar vienu identitāti, vienu sertifikātu un vienu atsaukšanas lēmumu, kas ir sliktāk, nekā izskatās. Tad otro ierīci nekad nevarēs atsaukt atsevišķi, tāpēc ērtības slēdzis klusi noņem kontroli, kas varētu būt vajadzīga vēlāk.

Lasiet servera žurnālu un statusa failu kopā, jo viens rāda autentifikācijas lēmumu, bet otrs – kas pašlaik ir pieslēgts. Divi ieraksti ar vienu un to pašu kopīgo vārdu un vienu virtuālo adresi apstiprina identitāšu sadursmi, nevis maršrutētāja ierobežojumu. Komerciālās vārtejas pievieno savus ierobežojumus, piemēram, plānu, kas atļauj vienu vienlaicīgu sesiju, licenču skaitu vai noteikumu, kas atļauj vienu sesiju katrai publiskajai adresei, un neviens maršrutētāja iestatījums to nemaina.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Saskaņojiet labojumu ar žurnāla ierakstu

Noraidījums žurnālā prasa atsevišķus piekļuves datus katrai ierīcei, augstāku ierobežojumu no tā, kas pārvalda pakalpojumu, vai otru vārtejas galapunktu vienai mašīnai. Ja neviens otrais mēģinājums nekad nesasniedz serveri, ilgstošais labojums ir maršrutētājs, kas pārsūta protokolu un notur vairāk nekā vienu sesiju, vai transports, ko maršrutētājs labi apstrādā, piemēram, viena TCP vai UDP plūsma. Izvēle starp tiem ir lēmums par aparatūras darbmūžu, nevis par klienta iestatījumiem.

Nekopējiet strādājošas ierīces profilu uz otru mašīnu un neuzskatiet darbu par pabeigtu. Tas pārvērš savienojuma problēmu piekļuves kontroles problēmā, jo pazaudētu portatīvo datoru vairs nevar atšķirt no kopijas, kas joprojām tiek lietota. Tas arī paslēpj sākotnējo kļūmi, kas atgriežas tajā brīdī, kad parādās trešā ierīce.

Divu dzīvu sesiju pārbaude

Pieslēdziet abas ierīces vienlaikus, palaidiet paredzēto lietotni katrā, pēc tam atkārtoti pieslēdziet vienu no tām un atkārtojiet. Otra ikona, kas parādās uz mirkli, neko nepierāda par plūsmu, un sesija, kas nokrīt pēc desmit minūtēm, ir cita kļūme ar citu saimnieku. Salīdziniet, ko serveris ziņo beigās, ar to, ko redzēja lietotāji, jo šie divi stāsti bieži nesakrīt.

Ja abas sesijas iztur un pārvadā plūsmu, labojums turas, un sākumā rakstītā piezīme kļūst par ierakstu par to, kas bija nepareizi. Ja iztur tikai viena, atgriezieties pie pirmā soļa un pārbaudiet, kuru no trim žurnāla iznākumiem tagad esat ieguvuši, jo atbilde varēja mainīties. Maršrutētāja palīgi var noslēpt problēmu, kas atkal parādās citā tīklā, bet ierobežojums katrai adresei seko lietotājam, nevis ierīcei. Testēšana no otra tīkla ir lētākais veids, kā uzzināt, kuru no tiem jūs patiešām izlabojāt.