Adakah klien L2TP kedua membunuh yang pertama? Baca enkapsulasi

Satu laptop mengekalkan terowong yang berfungsi melalui penghala pejabat. Laptop kedua di bilik yang sama disambungkan, dan yang pertama terputus. Jika itu keseluruhan simptom, tiga punca berbeza masih ada di atas meja, dan pembetulan mana yang terpakai bergantung pada perkara yang belum anda ukur. Penghala kongsi itu relevan, tetapi ia tidak automatik bersalah, dan protokol juga tidak.

Tiga punca yang kelihatan sama dari sofa

Calon pertama ialah cara penghala mengendalikan IPsec. Penghala pengguna murah sering mengiklankan pas melalui dan melaksanakannya untuk satu klien pada satu masa, kerana mekanisme itu menjejaki satu rakan dan tidak dapat memisahkan dua laptop di belakang alamat awam yang sama. Simptomnya tepat seperti yang anda jangkakan: sesi yang lebih baharu menang.

Yang kedua ialah akaun. Banyak pelayan VPN membenarkan satu sesi bagi setiap identiti dan memutuskan yang lebih lama apabila kelayakan yang sama disahkan semula, yang merupakan keputusan dasar di pintu masuk dan tidak ada kaitan dengan penghala anda. Cari mesej eksplisit itu dalam log pelayan sebelum membeli perkakasan.

Yang ketiga ialah salah konfigurasi biasa: dua profil menunjuk kepada identiti yang sama, salah satunya dengan kunci pra-kongsi yang lapuk atau sijil yang pintu masuk tidak lagi terima. Itu biasanya muncul sebagai sambungan kedua yang gagal dan bukannya yang pertama terputus, jadi bentuk kegagalan itu sudah memberitahu anda sesuatu.

Apa yang sebenarnya dihantar L2TP/IPsec melalui penghala

IKE berjalan di atas UDP 500. Laluan data ialah ESP, iaitu protokol IP 50 dan tidak membawa sebarang port TCP atau UDP. Oleh itu penghala yang hanya memahami port tidak mempunyai apa-apa untuk dipegang, dan itulah sebabnya mekanisme pas melalui wujud.

Dengan lintasan NAT, ESP dikapsulkan di dalam UDP 4500. Kini penghala mempunyai port sumber untuk dipetakan, dan setiap laptop mendapat terjemahannya sendiri, jadi pintu masuk boleh membezakan dua aliran. Inilah mekanisme yang membolehkan beberapa klien di belakang satu alamat berfungsi sama sekali.

Perbezaan itu penting apabila anda membaca senarai ciri penghala. Label yang menyebut pas melalui IPsec memberitahu anda bahawa vendor mempunyai sesuatu mekanisme; ia tidak memberitahu sama ada mekanisme itu menyokong beberapa klien atau bagaimana ia bertindak apabila yang kedua tiba.

Dokumentasi strongSwan tentang lintasan NAT menerangkan enkapsulasi itu sendiri, dan itulah bahagian yang boleh anda sahkan daripada tangkapan paket dan bukannya daripada halaman pemasaran.

Cara mengetahui punca mana yang sebenarnya anda hadapi

Lakukan empat pemerhatian dan catat setiap hasil. Setiap laptop bersendirian: adakah ia berfungsi, dan berapa lama? Kedua-duanya serentak: yang mana bertahan? Laptop kedua pada hotspot telefon: adakah yang pertama kekal? Dan di pintu masuk: adakah log pelayan menunjukkan sesi baharu yang menggantikan yang lama, atau menunjukkan satu klien yang sekadar senyap?

Jawapan itu memisahkan calon dengan bersih. Mesej penggantian dalam log pelayan menunjuk kepada dasar identiti. Klien yang berhenti menerima trafik sementara penghala menunjukkan terjemahan baharu menunjuk kepada penghala. Dua klien yang kedua-duanya gagal menyelesaikan IKE menunjuk kepada konfigurasi atau kelayakan.

Kekalkan profil yang sama sepanjang masa. Menukar profil antara ujian bermakna anda mengukur dua pemboleh ubah serentak, dan kesimpulannya akan salah dengan cara yang sangat sukar untuk diperhatikan.

Rakam di penghala jika ia menyokongnya, atau pada satu laptop semasa yang lain disambungkan. Melihat paket klien kedua muncul semasa paket klien pertama berhenti ialah bukti yang lebih kukuh daripada mana-mana ikon bersambung.

Jika penghala ialah kekangan

Gunakan konfigurasi berbilang klien yang didokumenkan oleh vendor jika ia wujud, atau gantikan peranti itu dengan satu yang dokumentasinya menyatakan apa yang anda perlukan. Itu jawapan yang tidak glamor dan satu-satunya yang bertahan selepas kemas kini perisian tegar.

Yang tidak berfungsi ialah menambah dua pengekodan masuk yang serupa ke arah dua laptop berbeza. Pengekodan memberitahu penghala ke mana hendak menghantar trafik yang tiba; ia tidak memberitahu paket itu milik aliran mana antara dua aliran aktif, dan kekaburan itulah pepijat.

Jika penghala tidak boleh diganti, letakkan satu klien di belakang laluan yang berbeza. Hotspot telefon ialah penyelesaian kekal yang buruk dan penyelesaian diagnostik yang sangat baik.

Jika pintu masuk ialah kekangan

Sediakan identiti berasingan untuk orang berasingan. Satu akaun kongsi yang digunakan oleh dua laptop ialah susunan yang menghasilkan simptom ini pada pelayan yang dikonfigurasikan untuk satu sesi, dan tiada konfigurasi setempat membetulkan keputusan yang dibuat di hujung sana.

Tanya pemilik pintu masuk dasar mana yang terpakai: satu sesi setiap akaun, satu setiap sijil, atau tiada had sama sekali. Jawapan mereka menentukan sama ada anda memerlukan kelayakan baharu atau penghala baharu.

Pengesahan ialah bahagian yang orang langkau. Jalankan trafik berguna daripada kedua-dua klien lebih lama daripada selang yang dahulunya gagal, kerana dua log masuk yang berjaya hanya membuktikan bahawa pengesahan berfungsi sekali pada setiap satu.