Вториот VPN клиент го расипа првиот: пронајдете го заедничкиот ресурс

Вчера оригиналниот клиент работеше. Денес новодојдениот бара врска, додека постариот профил запира на етапа што порано ја поминуваше без поплака. Податоците за најава ретко учествуваат, а портата обично е невина. Се смени тоа што два VPN стека сега сакаат истиот ексклузивен ресурс, а поправката зависи од неговото именување. Поминете низ слоевите наместо да ги преинсталирате двата.

Поминете низ четирите слоја по ред

VPN производот бара четири ресурси што можат да се судрат: позадинска услуга што често одбива да работи двапати, фиксен порт, виртуелен адаптер или кернелски филтер што го гледа сообраќајот пред табелата за рутирање, и правото да инсталира рути пред стандардната. Знаењето кој попуштил го претвора нејасниот конфликт во едно прашање со проверлив одговор.

Поврзете го симптомот со слој пред да допрете нешто. Клиентот што не се стартува покажува на услугата; тој што се стартува и никогаш не преговара покажува на портот; тој што се поврзува додека другиот ја губи целата поврзаност покажува на филтерот или на стандардната рута. Запишете го ова поврзување, бидејќи штеди еден час преинсталирање на апликации со надеж.

Започнете со услугата што не работи двапати

На Windows корпоративниот клиент обично е повеќе од тунел, бидејќи покрај профилот инсталира услуга, драјвер за филтер и понекогаш давател на податоци за најава. Запишете кои услуги работат пред промената и повторно по неа, па споредете ги двете листи наместо да рестартирате додека нешто не проработи. Услугите можат да се исклучуваат и преку зависности, каде што стартувањето на едната ја запира другата, и истиот образец се појавува на macOS со launchd задачи и заеднички демон. Клиентот што се стартува и излегува во секунди известува за сопственост, а не за конфигурација.

Прочитајте ја состојбата на услугата и нејзиниот дневник пред да го прочитате профилот. Услугата што се стартувала и запрела во истата минута е образецот што треба да се бара, а нејзиниот сопствен дневник на настани ја именува зависноста што ја потиснала. Профилот не може да поправи процес што не работи, а времето потрошено за негово уредување е време што не е потрошено за вистинскиот конфликт.

Потоа прашајте кому му припаѓа портот

Сопственоста на портот е најјасниот доказ што ќе го добиете, бидејќи неуспехот при поврзување директно го именува конфликтот. Две IKE имплементации не можат двете да одговараат на иста локална адреса и UDP порт, и никаков број повторувања тоа не го менува.

Get-NetUDPEndpoint -LocalPort 500,4500 | Select-Object LocalAddress,LocalPort,OwningProcess
netstat -ano | findstr :500
sudo lsof -nP -iUDP:500
ss -lunp | grep -E ':500|:4500'

Која линија и да одговара на вашата платформа, одговорот што го сакате е процес и услугата што го создала. Ако слушателот е вградената IKE услуга, вториот клиент е натрапникот; ако е агент на добавувач, вградениот клиент е натрапникот. Одлучете кој смее да стартува при најава и оневозможете го автоматското стартување на другиот наместо да го убивате секоја сесија.

Драјверот за филтер стои под вашите рути

Мрежниот драјвер за филтер го пресретнува сообраќајот помеѓу адаптерот и протоколскиот стек, па може да ги препишува или блокира пакетите без оглед на тоа што вели табелата за рутирање. Така рутата што изгледа исправна се игнорира, и затоа успешен ping може да стои покрај прелистувач што не може да вчита ништо.

Компонентите на добавувачот исто така се врзуваат за конкретни врски. Стар филтер врзан за еден адаптер може да спречи инаку исправен профил да го заврши своето ракување, а одврзувањето на таа компонента од својствата на адаптерот е потесно и повратливо отколку целосно отстранување на производот. Бидејќи врзувањето е по врска, споредете ги адаптерите, а не целиот стек.

Одлучете кој производ го поседува стартувањето, потоа запишете го

Соживотот е реален само кога двата клиенти по дизајн заземаат различни слоеви, како IPsec стек покрај прокси што ракува само со сообраќај на апликации. Каде и двата сакаат ист порт, ист слој на филтер или право да објават стандардна рута, тие ќе продолжат да се менуваат, и секој неуспех ќе изгледа како нова дефект.

Изберете го сопственикот намерно. Формите што преживуваат рестарт вклучуваат работа на вториот клиент во виртуелна машина, негово држење на посветен хардвер или стандардизација на еден клиент што ги зборува двата протокола. Оневозможувањето на автоматското стартување и услугата на губитникот е помала промена отколку повторно градење на табелата за рутирање по секое стартување, и се враќа со едно уредување на поставките.