L2TP/IPsec berhubung pada satu rangkaian dan tamat masa pada rangkaian lain

Komputer riba yang sama, profil yang sama dan kata laluan yang sama berfungsi di satu bangunan dan gagal di bangunan lain. Perbandingan itu ialah bukti paling berguna dalam tiket, dan biasanya ia adalah perkara pertama yang dibuang. Antara dua rangkaian akses, pertukaran melalui terjemahan alamat yang berbeza, penapis yang berbeza dan pembantu penghala yang berbeza. Menetapkan klien dan hanya menukar rangkaian ialah cara untuk mengetahui yang mana satu daripadanya penting.

Tetapkan klien sebelum membandingkan rangkaian

Jangan ubah apa-apa pada peranti sehingga anda mempunyai rekod kes yang berjaya: versi klien, kandungan profil, nama pelayan dan masa sambungan yang berjaya. Kemudian hasilkan semula kegagalan pada rangkaian kedua dalam sesi yang sama, supaya keadaan klien sedekat mungkin dengan identik. Profil yang diedit antara dua percubaan membatalkan seluruh perbandingan. Matlamatnya ialah satu pemboleh ubah, dan pemboleh ubah itu ialah rangkaian.

Sahkan akses internet biasa pada rangkaian yang gagal terlebih dahulu, termasuk portal tetamu jika ada. Portal yang tidak pernah dipenuhi menghasilkan tamat masa yang kelihatan sama seperti terowong yang ditapis, dan semakan itu mengambil masa seminit.

Empat peringkat, empat mesej kegagalan berbeza

Sambungan L2TP/IPsec melalui empat peringkat, dan RFC 3193 menerangkan susunan yang mengikat dua yang pertama. Rundingan IKE ialah tempat laluan yang ditapis menghasilkan tamat masa senyap. Pengesahan IPsec ialah tempat ketidakpadanan sijil atau kunci yang dikongsi terlebih dahulu sebaliknya menghasilkan penolakan eksplisit. Persediaan terowong L2TP ialah tempat gabungan keselamatan yang sudah terbentuk masih boleh tidak membawa ke mana-mana, dan log masuk PPP ialah tempat kredensial yang salah akhirnya menghasilkan kegagalan yang kelihatan. Baca log untuk peringkat yang berhenti, bukan baris terakhir yang dicetak.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Log strongSwan menunjukkan sama ada pertukaran IKE mencapai cadangan dan sama ada rakan sebaya menjawab langsung, yang memisahkan kebolehcapaian daripada dasar. Log xl2tpd mengambil alih di tempat IPsec berakhir, jadi gabungan keselamatan yang terbentuk tanpa apa-apa dalam log itu menunjukkan peringkat L2TP. Pertanyaan laluan mengesahkan klien menghantar ke alamat pelayan yang anda fikirkan, yang menangkap jawapan DNS basi yang diwarisi daripada rangkaian sebelumnya. Bersama-sama, ketiga-tiga output menamakan satu peringkat dan bukannya gejala.

Bandingkan kedalaman NAT dan tingkah laku pembantu

Lintasan NAT memindahkan trafik terlindung ke enkapsulasi UDP apabila terjemahan dikesan, jadi nombor port yang membawa sesi yang berfungsi mungkin berbeza daripada yang ada dalam rajah statik. Membenarkan satu paket persediaan tidak membuktikan apa-apa tentang baki pertukaran, dan imbasan port luaran tidak dapat memberitahu anda bagaimana rakan sebaya melayan trafik disahkan yang sah. Lapisan terjemahan kedua mengubah gambaran sekali lagi, kerana pemetaan kini wujud dua kali dan tamat mengikut dua jadual berbeza. Terjemahan peringkat pembawa pada sambungan mudah alih ialah sebab biasa profil pejabat yang berfungsi gagal pada hotspot telefon.

Pembantu penghala berbeza sebanyak rangkaian. Sesetengah firmware memintas dan menulis semula pertukaran, ada yang hanya berhenti membuangnya, dan ada yang hanya menggunakan tetapan dalam mod lama. Baca perihalan kotak semak oleh firmware itu sendiri, dan jika ada mod keserasian, ujinya sebagai satu perubahan yang disengajakan dan bukannya tiga sekali gus.

Klien keluar, pelayan masuk: dua masalah berbeza

Klien keluar dan pelayan masuk memerlukan kebolehcapaian huluan yang berbeza, dan ciri laluan tembus yang membantu yang pertama tidak melakukan apa-apa untuk yang kedua. Penghala rumah yang membenarkan komputer riba mencapai gerbang jauh tidak dengan itu menerima sambungan masuk ke pelayan di belakangnya. Mengelirukan kedua-duanya menghantar anda mencari pemajuan port yang tidak pernah menjadi masalah. Nyatakan peranan peranti yang gagal sebelum membandingkan apa-apa.

Selepas perubahan yang disokong, ulangi sambungan yang sama dan catat peringkat yang dicapai. Simpan profil yang berfungsi dan nota tentang rangkaian yang gagal bersama-sama, dan jangan tetapkan semula kredensial atau pasang semula klien, kerana itu membuang bukti yang menjadi asas perbandingan.