Хоёр дахь L2TP клиент эхнийхийг алж байна уу? Инкапсуляцийг уншина уу

Нэг зөөврийн компьютер оффисын чиглүүлэгчээр дамжин ажиллаж буй туннелийг барьж байна. Нэг өрөөнд байгаа хоёр дахь зөөврийн компьютер холбогдоход эхнийх нь унадаг. Хэрэв энэ нь бүх шинж тэмдэг бол ширээн дээр гурван өөр шалтгаан байсаар байгаа бөгөөд аль засвар тохирох нь таны хараахан хэмжээгүй зүйлээс хамаарна. Хамтарсан чиглүүлэгч хамаатай боловч автоматаар буруутан биш, протокол ч мөн биш.

Буйдангаас ижил харагдах гурван шалтгаан

Эхний нэр дэвшигч нь чиглүүлэгчийн IPsec-тэй харьцах байдал юм. Хямд хэрэглээний чиглүүлэгчид нэвтрүүлэлтийг зарлаж, нэг удаад нэг клиентэд хэрэгжүүлдэг, учир нь механизм нэг түншийг мөрддөг бөгөөд нэг нийтийн хаягийн ард хоёр зөөврийн компьютер ялгаж чаддаггүй. Шинж тэмдэг нь таны хүлээж байгаа яг тэр: шинэ сесс ялдаг.

Хоёр дахь нь бүртгэл юм. Олон VPN сервер нэг таних тэмдэгт нэг сесс зөвшөөрч, ижил нэвтрэх мэдээлэл дахин баталгаажахад хуучныг нь тасладаг бөгөөд энэ нь гарцын бодлогын шийдвэр бөгөөд таны чиглүүлэгчтэй ямар ч холбоогүй. Техник хангамж худалдан авахаас өмнө серверийн логт тэр тодорхой мэдээллийг хай.

Гурав дахь нь энгийн буруу тохиргоо: хоёр профайл нэг таних тэмдэг рүү зааж, нэг нь хуучирсан урьдчилан хуваалцсан түлхүүр эсвэл гарц хүлээж авахаа больсон гэрчилгээтэй. Энэ нь ихэвчлэн эхнийх унахын оронд хоёр дахь холболт бүтэлгүйтэх хэлбэрээр илэрдэг тул алдааны хэлбэр танд аль хэдийн ямар нэг зүйл хэлж байна.

L2TP/IPsec чиглүүлэгчээр дамжин яг юу илгээдэг вэ

IKE нь UDP 500 дээр ажилладаг. Өгөгдлийн зам нь ESP бөгөөд энэ нь IP протокол 50 бөгөөд TCP эсвэл UDP порт огт агуулдаггүй. Тиймээс зөвхөн портыг ойлгодог чиглүүлэгчид барих зүйл байхгүй бөгөөд нэвтрүүлэлтийн механизм байгаа шалтгаан нь яг энэ.

NAT дамжуулалттай ESP нь UDP 4500 дотор инкапсуллагдана. Одоо чиглүүлэгчид зураглах эх порт байгаа бөгөөд зөөврийн компьютер бүр өөрийн орчуулгыг авдаг тул гарц хоёр урсгалыг ялгаж чадна. Нэг хаягийн ард олон клиент ажиллахыг ерөнхийд нь боломжтой болгодог механизм нь энэ.

Энэ ялгаа нь чиглүүлэгчийн онцлогийн жагсаалтыг уншихад чухал. IPsec нэвтрүүлэлт гэсэн шошго нь үйлдвэрлэгчид ямар нэг механизм байгааг хэлдэг; тэр механизм олон клиентийг дэмжих эсэх, хоёр дахь ирэхэд хэрхэн ажиллахыг хэлдэггүй.

strongSwan-ы NAT дамжуулалтын баримт бичиг нь инкапсуляцийг өөрөө тайлбарладаг бөгөөд энэ нь маркетингийн хуудаснаас бус пакетын бичлэгээс шалгаж болох хэсэг юм.

Бодит ямар шалтгаан байгааг хэрхэн мэдэх вэ

Дөрвөн ажиглалт хийж үр дүн бүрийг бич. Зөврийн компьютер бүр ганцаараа: ажиллаж байна уу, хэр удаан? Хоёулаа хамт: аль нь үлдэх вэ? Хоёр дахь зөөврийн компьютер утасны хотспот дээр: эхнийх нь зогсож байна уу? Мөн гарц дээр: серверийн лог шинэ сесс хуучныг орлож байгааг харуулж байна уу, эсвэл нэг клиент зүгээр л дуугүй болж байгааг харуулж байна уу?

Тэр хариултууд нэр дэвшигчдийг цэвэр ялгадаг. Серверийн лог дахь орлуулалтын мэдээлэл таних тэмдгийн бодлогыг заана. Чиглүүлэгч шинэ орчуулга харуулж байхад клиент трафик хүлээж авахаа болих нь чиглүүлэгчийг заана. IKE-г хоёулаа дуусгаж чадахгүй байгаа хоёр клиент тохиргоо эсвэл нэвтрэх мэдээллийг заана.

Бүх хугацаанд ижил профайлыг баримтал. Туршилтуудын хооронд профайлыг солих нь хоёр хувьсагчийг нэгэн зэрэг хэмжиж байна гэсэн үг бөгөөд дүгнэлт нь анзаарахад маш хэцүү байдлаар буруу болно.

Чиглүүлэгч дэмждэг бол тэнд бичлэг хий, эсвэл нөгөө нь холбогдож байх хооронд нэг зөөврийн компьютер дээр. Эхний клиентийн пакетууд зогсох үед хоёр дахь клиентийн пакетууд гарч ирэхийг харах нь ямар ч холбогдсон дүрснээс илүү хүчтэй нотолгоо.

Хэрэв хязгаарлалт нь чиглүүлэгч бол

Үйлдвэрлэгчийн баримтжуулсан олон клиентийн тохиргоо байвал түүнийг ашигла, эсвэл төхөөрөмжийг баримт бичиг нь таны хэрэгтэй зүйлийг хэлсэн өөр төхөөрөмжөөр соль. Энэ бол гоо сайхан биш хариулт бөгөөд програм хангамжийн шинэчлэлтийг даван туулах цорын ганц хариулт.

Ажиллахгүй зүйл бол хоёр өөр зөөврийн компьютер рүү хоёр ижил орж ирэх дамжуулалт нэмэх юм. Дамжуулалт нь ирж буй трафикийг хаашаа илгээхийг чиглүүлэгчид хэлдэг; пакет хоёр идэвхтэй урсгалын алинд хамаарахыг хэлдэггүй бөгөөд тэр хоёрдмол байдал нь алдаа.

Хэрэв чиглүүлэгчийг солих боломжгүй бол нэг клиентийг өөр замын ард тавь. Утасны хотспот нь муу байнгын шийдэл бөгөөд бүрэн сайн оношлогооны шийдэл.

Хэрэв хязгаарлалт нь гарц бол

Тусдаа хүмүүст тусдаа таних тэмдэг олго. Хоёр зөөврийн компьютер ашигладаг нэг хамтарсан бүртгэл нь нэг сессэд тохируулсан серверүүд дээр энэ шинж тэмдгийг үүсгэдэг зохион байгуулалт бөгөөд ямар ч локал тохиргоо нөгөө үзүүрт гаргасан шийдвэрийг засдаггүй.

Гарцын эзэнд ямар бодлого үйлчлэхийг асуу: бүртгэл бүрт нэг сесс, гэрчилгээ бүрт нэг, эсвэл огт хязгааргүй. Тэдний хариулт танд шинэ нэвтрэх мэдээлэл хэрэгтэй эсвэл шинэ чиглүүлэгч хэрэгтэйг шийднэ.

Баталгаажуулалт бол хүмүүсийн алгасдаг хэсэг. Хоёр клиентээс ашигтай трафикийг өмнө нь бүтэлгүйтдэг байсан интервалаас илүү удаан явуул, учир нь хоёр амжилттай нэвтрэлт нь баталгаажуулалт тус бүрд нэг удаа ажилласныг л нотолдог.