L2TP/IPsec се поврзува во една мрежа и истекува времето во друга

Истиот лаптоп, истиот профил и истата лозинка работат во една зграда и не работат во друга. Таа споредба е најкорисното доказ во барањето и обично е првото нешто што се отфрла. Помеѓу две пристапни мрежи, размената поминува низ друго преведување на адреси, други филтри и други помошници на рутерот. Да го задржите клиентот непроменет и да ја смените само мрежата е начинот да откриете што од тоа е важно.

Фиксирајте го клиентот пред да споредувате мрежи

Не менувајте ништо на уредот додека немате запис за работниот случај: верзија на клиентот, содржина на профилот, име на серверот и време на успешната врска. Потоа повторете го дефектот во втората мрежа во истата сесија, за состојбата на клиентот да биде колку што е можно поидентична. Профил уреден помеѓу двата обиди ја поништува целата споредба. Целта е една променлива и таа променлива е мрежата.

Прво потврдете обичен пристап на интернет во дефектната мрежа, вклучително гостински портал ако има. Портал што никогаш не бил исполнет дава истекување на времето што изгледа точно како филтриран тунел, и таа проверка трае една минута.

Четири фази, четири различни пораки за грешка

Поврзување L2TP/IPsec поминува низ четири фази, и RFC 3193 ја опишува поставеноста што ги поврзува првите две. Преговарањето IKE е местото каде филтрирана патека дава тивко истекување на времето. Автентикацијата IPsec е местото каде несовпаѓање на сертификат или однапред споделен клуч дава наместо тоа експлицитно одбивање. Поставувањето на тунелот L2TP е местото каде веќе воспоставено здружение за безбедност сепак може да не води никаде, а најавувањето PPP е местото каде погрешни акредитиви конечно даваат видлив дефект. Читајте го дневникот за фазата што запрела, не за последната испечатена линија.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Дневникот на strongSwan покажува дали размената IKE стигнала до предлог и дали партнерот воопшто одговорил, што ја одделува достапноста од политиката. Дневникот на xl2tpd продолжува таму каде завршува IPsec, така што воспоставено здружение за безбедност без ништо во тој дневник покажува на фазата L2TP. Барањето за рута потврдува дека клиентот испраќа кон адресата на серверот што ја мислите, и тоа фаќа застарен одговор на DNS наследен од претходната мрежа. Заедно, трите излези именуваат фаза наместо симптом.

Споредете ја длабочината на NAT и однесувањето на помошникот

Поминувањето низ NAT го преместува заштитениот сообраќај во инкапсулација UDP кога ќе се открие преведување, така што броевите на портите што носат работна сесија може да се разликуваат од тие на статична шема. Дозволувањето на еден пакет за поставување не докажува ништо за остатокот од размената, а надворешното скенирање на порти не може да ви каже како партнерот се однесува кон валиден автентификуван сообраќај. Втор слој на преведување повторно ја менува сликата, бидејќи мапирањето сега постои двапати и истекува по два различни распореди. Преведувањето на ниво на оператор на мобилна врска е обичната причина зошто работен канцелариски профил не успева на hotspot на телефон.

Помошниците на рутерот се разликуваат колку и мрежите. Некои фирмвери ја пресретнуваат и препишуваат размената, други само престануваат да ја отфрлаат, а трети ја применуваат поставката само во стар режим. Прочитајте го описот на полето за штиклирање од самиот фирмвер и каде што постои режим на компатибилност, тестирајте го како една свесна промена, а не три одеднаш.

Излезен клиент, влезен сервер: два различни проблема

Излезниот клиент и влезниот сервер бараат различна достапност нагоре по текот, а функцијата за пропуштање што му помага на првиот не прави ништо за вториот. Домашен рутер што му дозволува на лаптопот да стигне до оддалечена порта не прифаќа поради тоа влезни врски кон сервер зад него. Мешањето на двете ве испраќа да барате пренасочување на порти што никогаш не било проблемот. Пред да споредите нешто, наведете каква улога игра дефектниот уред.

По поддржана промена, повторете ја истата врска и запишете ја достигнатата фаза. Чувајте ги заедно работниот профил и белешката за дефектната мрежа, не ги ресетирајте акредитивите и не го реинсталирајте клиентот, бидејќи тоа ги отфрла доказите врз кои е изградена споредбата.