Mengapa hanya satu klien VPN menyambung di belakang router yang sama

Dua komputer riba berada pada rangkaian rumah yang sama, dan VPN pejabat menerima tepat satu daripadanya. Yang kedua sama ada kehabisan masa atau menunggu sehingga yang pertama terputus, dan tiada siapa menyentuh tetapan klien antara kedua-dua percubaan. Kelayakan adalah yang sama yang berfungsi seminit lalu, dan itulah petunjuk bahawa pengesahan bukan punca kegagalan. Tiga mekanisme menghasilkan corak ini, dan log pelayan itu sendiri memberitahu yang mana anda hadapi.

Baca log get lalu sebelum menyentuh klien

Rekod pelayan bagi kedua-dua percubaan menjawab soalan pertama, dan ia menjawab dalam salah satu daripada tiga cara. Jika percubaan kedua tidak pernah muncul dalam log itu, paket itu tidak pernah sampai kepada pendengar, dan masalahnya ada pada router rumah atau laluan penyedia. Jika log merekodkan percubaan dan menolaknya, terowong telah sampai, jadi isunya ialah identiti, lesen atau had sesi, bukan sesuatu pada wayar. Jika log merekodkan sesi berjaya sementara klien masih melaporkan kegagalan, lihat laluan balik atau sama ada dua klien diberi alamat terowong yang sama.

Titik akses telefon memisahkan keluarga itu dengan murah: jalankan klien kedua melalui data mudah alih sementara yang pertama kekal bersambung. Kejayaan di sana menunjuk kepada rangkaian rumah, dan kegagalan yang sama di sana menunjuk kepada get lalu, yang membiarkan router tidak bersalah. Tiada hasil yang muktamad sendirian, tetapi setiap satu menghapuskan separuh ruang carian dalam satu percubaan.

Tulis hasilnya sebelum mengubah apa-apa, kerana tiga hasil log membawa kepada tiga pembaikan yang tidak berkaitan. Nota yang menamakan yang mana antara tiga itu anda lihat lebih bernilai daripada tangkapan skrin ralat klien.

Apa yang router lakukan dengan GRE dan NAT-T

PPTP ialah pesalah klasik: saluran kawalan ialah TCP 1723 manakala laluan data ialah GRE, protokol IP 47. Banyak router pengguna disertakan pembantu PPTP yang menjejaki satu sambungan kawalan, jadi klien kedua di belakang NAT yang sama membuka saluran kawalannya dan kemudian tidak menerima laluan data langsung. Meneruskan port TCP bernombor 47 tidak melakukan apa-apa untuk GRE, kerana GRE ialah nombor protokol, bukan port.

L2TP di atas IPsec berkelakuan berbeza secara reka bentuk: IKE menggunakan UDP 500, penembusan NAT memindahkan muatan terlindung ke UDP 4500, dan enkapsulasi wujud semata-mata supaya beberapa klien di belakang satu alamat dapat mencapai get lalu yang sama. Reka bentuk itu tidak menghalang get lalu atau kotak perantaraan daripada mengenakan had sesi bagi setiap alamat, dan dari sofa kedua-dua kegagalan kelihatan sama. Protokol asli SoftEther mempunyai kelas masalah yang sama: router tanpa laluan berfungsi menerima klien pertama dari LAN dan menggugurkan yang kedua. Uji suis ALG atau laluan router pada kedua-dua kedudukan, kerana pembantu yang ditulis untuk klien lama boleh merosakkan paket yang dihantar klien semasa.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Had identiti yang kelihatan seperti had pengangkutan

Router bukan satu-satunya suspek, dan log membezakannya daripada alternatif. Apabila pelayan OpenVPN menyematkan nama biasa pada satu alamat terowong, kedua-dua peranti menerima alamat itu, dan tanpa duplicate-cn sesi yang lebih baharu menolak yang lama keluar. Mengaktifkan pilihan itu membiarkan kedua-duanya bersambung tetapi meninggalkan mereka dengan satu identiti, satu sijil dan satu keputusan pembatalan, yang lebih buruk daripada kelihatan. Peranti kedua kemudian tidak boleh dibatalkan sendiri lagi, jadi satu suis kemudahan secara senyap membuang kawalan yang mungkin anda perlukan kemudian.

Baca jurnal pelayan dan fail statusnya bersama-sama, kerana satu menunjukkan keputusan pengesahan dan satu lagi menunjukkan siapa yang sedang bersambung. Dua entri yang berkongsi nama biasa dan satu alamat maya mengesahkan perlanggaran identiti dan bukan had router. Get lalu komersial menambah had mereka sendiri, seperti pelan yang membenarkan satu sesi serentak, bilangan lesen atau peraturan yang membenarkan satu sesi bagi setiap alamat awam, dan tiada tetapan router mengubah mana-mana daripadanya.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Padankan pembaikan dengan entri log

Penolakan dalam log memerlukan kelayakan berasingan bagi setiap peranti, had yang lebih tinggi daripada pengendali perkhidmatan, atau titik akhir get lalu kedua untuk satu mesin. Jika tiada percubaan kedua pernah sampai ke pelayan, pembaikan yang berkekalan ialah router yang meneruskan protokol dan menahan lebih daripada satu sesi, atau pengangkutan yang diuruskan router dengan baik, seperti satu aliran TCP atau UDP. Memilih antara itu ialah keputusan tentang jangka hayat perkakasan, bukan tentang tetapan klien.

Jangan salin profil peranti yang berfungsi ke mesin kedua dan menganggapnya selesai. Itu menukar masalah sambungan menjadi masalah kawalan akses, kerana komputer riba yang hilang tidak lagi boleh dibezakan daripada salinan yang masih digunakan. Ia juga menyembunyikan kerosakan asal, yang kembali sebaik sahaja peranti ketiga muncul.

Mengesahkan dua sesi hidup

Sambungkan kedua-dua peranti pada masa yang sama, jalankan aplikasi yang dimaksudkan pada setiap satu, kemudian sambung semula salah satu daripadanya dan ulangi. Ikon kedua yang muncul sekejap tidak membuktikan apa-apa tentang trafik, dan sesi yang jatuh selepas sepuluh minit ialah pepijat lain dengan pemilik lain. Bandingkan apa yang dilaporkan pelayan pada akhirnya dengan apa yang dilihat pengguna, kerana kedua-dua laporan itu sering tidak bersetuju.

Jika kedua-dua sesi bertahan dan membawa trafik, pembaikan itu kekal, dan nota yang anda tulis pada mulanya menjadi rekod tentang apa yang salah. Jika hanya satu bertahan, kembali ke langkah pertama dan semak yang mana antara tiga hasil log yang anda ada sekarang, kerana jawapannya mungkin telah berubah. Pembantu router boleh menyembunyikan masalah yang muncul semula pada rangkaian lain, manakala had bagi setiap alamat mengikut pengguna dan bukan peranti. Menguji dari rangkaian kedua ialah cara paling murah untuk mengetahui mana yang sebenarnya anda betulkan.