Дали вториот L2TP клиент го убива првиот? Прочитајте ја инкапсулацијата

Еден лаптоп држи работен тунел преку канцеларискиот рутер. Втор лаптоп во истата просторија се поврзува, и првиот паѓа. Ако тоа е целиот симптом, на масата и понатаму стојат три различни причини, и кое поправање важи зависи од работи што допрва треба да ги измерите. Заедничкиот рутер е релевантен, но не е автоматски виновен, а ни протоколот.

Три причини што од софата изгледаат идентично

Првиот кандидат е однесувањето на рутерот кон IPsec. Евтините потрошувачки рутери често рекламираат премин и го спроведуваат за еден клиент истовремено, бидејќи механизмот следи еден партнер и не може да одвои два лаптопи зад истата јавна адреса. Симптомот е точно она што би го очекувале: победува поновата сесија.

Вториот е сметката. Многу VPN сервери дозволуваат една сесија по идентитет и ја исклучуваат постарата кога истите акредитиви повторно се автентификуваат, што е одлука за политика на портата и нема никаква врска со вашиот рутер. Побарајте ја таа експлицитна порака во дневникот на серверот пред да купите хардвер.

Третиот е едноставна погрешна конфигурација: два профили покажуваат на истиот идентитет, едниот со застарен претходно споделен клуч или сертификат што портата повеќе не го прифаќа. Тоа обично се појавува како неуспешно второ поврзување, а не како паѓање на првото, така што формата на грешката веќе ви кажува нешто.

Што всушност L2TP/IPsec испраќа низ рутерот

IKE работи преку UDP 500. Патеката на податоци е ESP, тоа е IP протокол 50 и воопшто не носи TCP или UDP порти. Затоа рутер што разбира само порти нема што да фати, и токму затоа постои механизмот за премин.

Со NAT премин, ESP се инкапсулира во UDP 4500. Сега рутерот има изворна порта за мапирање, и секој лаптоп добива свој превод, така што портата може да разликува два тека. Тоа е механизмот што воопшто овозможува неколку клиенти зад една адреса да работат.

Разликата е важна кога читате список на функции на рутер. Етикета што вели IPsec премин ви кажува дека производителот има некаков механизам; не ви кажува дали тој механизам поддржува неколку клиенти или како се однесува кога ќе дојде вториот.

Документацијата на strongSwan за NAT премин ја опишува самата инкапсулација, и тоа е делот што можете да го проверите од снимки на пакети, а не од маркетинг страница.

Како да дознаете која причина всушност ја имате

Направете четири набљудувања и запишете го секој резултат. Секој лаптоп сам: работи ли, и колку долго? Двата заедно: кој преживува? Вториот лаптоп на телефонски хотспот: дали првиот останува? И на портата: дали дневникот на серверот покажува нова сесија што заменува стара, или покажува еден клиент што едноставно замолчува?

Тие одговори чисто ги одвојуваат кандидатите. Порака за замена во дневникот на серверот укажува на политиката за идентитет. Клиент што престанува да прима сообраќај додека рутерот покажува нов превод укажува на рутерот. Два клиенти што и двата не го завршуваат IKE укажуваат на конфигурацијата или акредитивите.

Држете ги истите профили цело време. Менувањето на профилот помеѓу тестовите значи дека мерите две променливи истовремено, и заклучокот ќе биде погрешен на начин што е многу тешко да се забележи.

Снимете на рутерот ако го поддржува тоа, или на еден лаптоп додека другиот се поврзува. Гледањето како пакетите на вториот клиент се појавуваат додека пакетите на првиот запираат е посилен доказ од која било икона за поврзаност.

Ако рутерот е ограничувањето

Користете ја документираната конфигурација за повеќе клиенти на производителот ако постои, или заменете го уредот со оној чија документација кажува што ви треба. Тоа е неугледен одговор и единствениот што преживува ажурирање на фирмверот.

Она што не работи е додавање на две идентични влезни препраќања кон два различни лаптопи. Препраќањето му кажува на рутерот каде да го праќа дојдовниот сообраќај; не му кажува на кој од два активни тека му припаѓа пакетот, и таа двосмисленост е грешката.

Ако рутерот не може да се замени, ставете еден клиент зад друг пат. Телефонскиот хотспот е лошо трајно решение и сосема добро дијагностичко.

Ако портата е ограничувањето

Обезбедете одделни идентитети за одделни луѓе. Една заедничка сметка што ја користат два лаптопи е распоредот што го создава овој симптом на сервери конфигурирани за една сесија, и ниту една локална конфигурација не ја поправа одлуката донесена на другиот крај.

Прашајте го сопственикот на портата која политика важи: една сесија по сметка, една по сертификат или никакво ограничување. Нивниот одговор одлучува дали ви требаат нови акредитиви или нов рутер.

Проверката е делот што луѓето го прескокнуваат. Пуштете корисен сообраќај од двата клиенти подолго од интервалот што порано паѓаше, бидејќи две успешни најавувања докажуваат само дека автентикацијата работела по еднаш во секој случај.