Klien VPN kedua merosakkan yang pertama: cari sumber kongsi

Semalam klien asal berfungsi. Hari ini pendatang baru menuntut sambungan manakala profil lama terhenti pada peringkat yang dahulunya dilalui tanpa aduan. Kelayakan jarang terlibat, dan get laluan biasanya tidak bersalah. Yang berubah ialah dua tindanan VPN kini mahukan sumber eksklusif yang sama, dan pembaikan bergantung pada menamakannya. Jelajahi lapisan itu dan bukannya memasang semula kedua-duanya.

Jelajahi keempat-empat lapisan mengikut urutan

Produk VPN memerlukan empat sumber yang boleh berlanggar: perkhidmatan latar belakang yang sering enggan berjalan dua kali, port tetap, penyesuai maya atau penapis kernel yang melihat trafik sebelum jadual penghalaan, dan hak untuk memasang laluan di hadapan laluan lalai. Mengetahui yang mana mengalah menjadikan konflik kabur sebagai satu soalan dengan jawapan yang boleh diuji.

Petakan gejala kepada lapisan sebelum menyentuh apa-apa. Klien yang tidak bermula menunjuk kepada perkhidmatan; yang bermula tetapi tidak pernah berunding menunjuk kepada port; yang bersambung sementara yang lain kehilangan semua sambungan menunjuk kepada penapis atau laluan lalai. Tuliskan pemetaan itu, kerana ia menjimatkan sejam memasang semula aplikasi dengan harapan.

Mulakan dengan perkhidmatan yang tidak berjalan dua kali

Pada Windows klien korporat biasanya lebih daripada terowong, kerana ia memasang perkhidmatan, pemacu penapis dan kadangkala penyedia kelayakan bersama profil. Catat perkhidmatan mana yang berjalan sebelum perubahan dan sekali lagi selepasnya, kemudian bandingkan kedua-dua senarai dan bukannya but semula sehingga sesuatu berfungsi. Perkhidmatan juga boleh mengecualikan satu sama lain melalui kebergantungan, di mana memulakan satu menghentikan yang lain, dan corak yang sama muncul pada macOS dengan tugas launchd dan daemon kongsi. Klien yang bermula dan keluar dalam beberapa saat melaporkan pemilikan, bukan konfigurasi.

Baca keadaan perkhidmatan dan lognya sebelum membaca profil. Perkhidmatan yang bermula dan berhenti dalam minit yang sama ialah corak yang perlu dicari, dan log peristiwanya sendiri menamakan kebergantungan yang menggantikannya. Profil tidak boleh membaiki proses yang tidak berjalan, dan masa yang diluangkan untuk menyuntingnya ialah masa yang tidak diluangkan pada konflik sebenar.

Kemudian tanya siapa yang memiliki port itu

Pemilikan port ialah bukti paling jelas yang akan anda peroleh, kerana kegagalan ikatan menamakan konflik itu secara langsung. Dua pelaksanaan IKE tidak boleh kedua-duanya menjawab pada alamat tempatan dan port UDP yang sama, dan berapa kali pun dicuba ia tidak berubah.

Get-NetUDPEndpoint -LocalPort 500,4500 | Select-Object LocalAddress,LocalPort,OwningProcess
netstat -ano | findstr :500
sudo lsof -nP -iUDP:500
ss -lunp | grep -E ':500|:4500'

Baris mana pun yang sepadan dengan platform anda, jawapan yang anda mahu ialah proses dan perkhidmatan yang melahirkannya. Jika pendengar ialah perkhidmatan IKE terbina dalam, klien kedua ialah penyusup; jika ia agen vendor, klien terbina dalam itu penyusup. Tentukan yang mana boleh bermula semasa log masuk dan lumpuhkan autostart yang lain dan bukannya membunuhnya setiap sesi.

Pemacu penapis terletak di bawah laluan anda

Pemacu penapis rangkaian memintas trafik antara penyesuai dan tindanan protokol, jadi ia boleh menulis semula atau menyekat paket walau apa pun kata jadual penghalaan. Beginilah laluan yang kelihatan betul diabaikan, dan sebab itulah ping yang berjaya boleh duduk di sebelah pelayar yang tidak dapat memuatkan apa-apa.

Komponen vendor juga terikat pada sambungan tertentu. Penapis lama yang terikat pada satu penyesuai boleh menghalang profil yang sebenarnya betul daripada menyelesaikan jabat tangan, dan melepaskan komponen itu daripada sifat penyesuai lebih sempit dan lebih mudah dibalikkan daripada menanggalkan produk sepenuhnya. Oleh sebab ikatan adalah bagi setiap sambungan, bandingkan penyesuai dan bukan seluruh tindanan.

Tentukan produk mana yang memiliki but, kemudian rekodkannya

Koeksistensi hanya realistik apabila kedua-dua klien menduduki lapisan berbeza secara reka bentuk, seperti tindanan IPsec di sebelah proksi yang hanya mengendalikan trafik aplikasi. Di mana kedua-duanya mahukan port yang sama, lapisan penapis yang sama atau hak untuk menerbitkan laluan lalai, mereka akan terus bergilir-gilir dan setiap kegagalan akan kelihatan seperti kerosakan baru.

Pilih pemilik dengan sengaja. Bentuk yang bertahan selepas but semula termasuk menjalankan klien kedua di dalam mesin maya, menyimpannya pada perkakasan khusus, atau menyeragamkan pada satu klien yang bertutur kedua-dua protokol. Melumpuhkan autostart dan perkhidmatan pihak yang kalah ialah perubahan yang lebih kecil daripada membina semula jadual penghalaan selepas setiap permulaan, dan ia berbalik dengan satu suntingan tetapan.