Il-klijent L2TP it-tieni joqtol l-ewwel? Aqra l-inkapsulament

Laptop wieħed iżomm tunnel li jaħdem mill-router tal-uffiċċju. It-tieni laptop fl-istess kamra jikkonnettja, u l-ewwel jaqa’. Jekk dan huwa s-sintomu kollu, għad hemm tliet kawżi differenti fuq il-mejda, u liema korrezzjoni tapplika tiddependi fuq affarijiet li għadek ma kejjiltx. Ir-router komuni huwa rilevanti, imma mhuwiex awtomatikament ħati, u lanqas il-protokoll.

Tliet kawżi li jidhru identiċi mis-sufan

L-ewwel kandidat huwa kif ir-router jimmaniġġja IPsec. Router tal-konsum irħas spiss jirreklamaw pass-through u jimplimentawh għal klijent wieħed kull darba, għax il-mekkaniżmu jsegwi sieħeb wieħed u ma jistax jifred żewġ laptops wara l-istess indirizz pubbliku. Is-sintomu huwa eżattament dak li tistenna: l-aktar sessjoni ġdida tirbaħ.

It-tieni huwa l-kont. Ħafna servers VPN jippermettu sessjoni waħda għal kull identità u jaqtgħu l-aktar qadima meta l-istess kredenzjali jerġgħu jiġu awtentikati, li hija deċiżjoni ta’ politika fuq il-gateway u m’għandha x’taqsam xejn mar-router tiegħek. Fittex dak il-messaġġ espliċitu fil-log tas-server qabel ma tixtri ħardwer.

It-tielet huwa konfigurazzjoni ħażina sempliċi: żewġ profili jindikaw l-istess identità, wieħed minnhom b’ċavetta kondiviża minn qabel skaduta jew b’ċertifikat li l-gateway ma jibqax jaċċetta. Dak normalment jidher bħala tieni konnessjoni falluta minflok l-ewwel waħda taqa’, għalhekk il-forma tal-falliment diġà qed tgħidlek xi ħaġa.

X’jibgħat tassew L2TP/IPsec mill-router

IKE jaħdem fuq UDP 500. Il-passaġġ tad-data huwa ESP, li huwa protokoll IP 50 u ma jġorr l-ebda port TCP jew UDP. Għalhekk router li jifhem biss il-portijiet m’għandu xejn x’jaqbad, u proprju għalhekk teżisti l-mekkaniżmu tal-pass-through.

Bil-qsim tan-NAT, ESP huwa inkapsulat ġewwa UDP 4500. Issa r-router għandu port tas-sors x’jimmappja, u kull laptop jieħu t-traduzzjoni tiegħu, sabiex il-gateway jista’ jifred żewġ flussi. Dan huwa l-mekkaniżmu li jagħmel possibbli li diversi klijenti wara indirizz wieħed jaħdmu xejn.

Id-distinzjoni hija importanti meta taqra l-lista tal-karatteristiċi ta’ router. Tikketta li tgħid pass-through IPsec tgħidlek li l-fornitur għandu xi mekkaniżmu; ma tgħidlekx jekk dak il-mekkaniżmu jappoġġjax diversi klijenti jew kif iġib ruħu meta jiġi t-tieni.

Id-dokumentazzjoni ta’ strongSwan dwar il-qsim tan-NAT tiddeskrivi l-inkapsulament innifsu, u dak huwa l-parti li tista’ tivverifika minn qbid ta’ pakketti minflok minn paġna ta’ marketing.

Kif tkun taf liema kawża tassew għandek

Agħmel erba’ osservazzjonijiet u ikteb kull riżultat. Kull laptop waħdu: jaħdem, u għal kemm-il żmien? It-tnejn flimkien: liema jibqa’? It-tieni laptop fuq hotspot tat-telefon: l-ewwel jibqa’ wieqaf? U fil-gateway: il-log tas-server juri sessjoni ġdida li tissostitwixxi waħda qadima, jew juri klijent wieħed li sempliċement jiskot?

Dawk it-tweġibiet jifirdu l-kandidati b’mod nadif. Messaġġ ta’ sostituzzjoni fil-log tas-server jindika l-politika tal-identità. Klijent li jieqaf jirċievi traffiku waqt li r-router juri traduzzjoni ġdida jindika r-router. Żewġ klijenti li t-tnejn ma jlestux IKE jindikaw il-konfigurazzjoni jew il-kredenzjali.

Żomm l-istess profili tul il-proċess kollu. Li tbiddel il-profil bejn it-testijiet ifisser li qed tkejjel żewġ varjabbli fl-istess ħin, u l-konklużjoni tkun ħażina b’mod li huwa diffiċli ħafna tinnota.

Aqbad fuq ir-router jekk jissapportjah, jew fuq laptop wieħed waqt li l-ieħor jikkonnettja. Li tara l-pakketti tat-tieni klijent jidhru waqt li dawk tal-ewwel jieqfu huwa prova aktar soda minn kwalunkwe ikona tal-konnessjoni.

Jekk ir-router huwa l-limitazzjoni

Uża l-konfigurazzjoni multi-klijent dokumentata tal-fornitur jekk teżisti, jew ibdel il-mezz ma’ wieħed li d-dokumentazzjoni tiegħu tgħid dak li għandek bżonn. Dik hija tweġiba mhux glamuruża u hija l-unika waħda li tgħaddi minn aġġornament tal-firmware.

Li ma jaħdimx huwa li żżid żewġ indirizzamenti entranti identiċi lejn żewġ laptops differenti. Indirizzament jgħid lir-router fejn jibgħat it-traffiku li jasl, mhux lil min min żewġ flussi attivi jappartjeni pakkett, u l-ambigwità hija l-bug.

Jekk ir-router ma jistax jinbidel, poġġi klijent wieħed wara passaġġ differenti. Hotspot tat-telefon hija soluzzjoni permanenti fqira u soluzzjoni dijanjostika tajba ħafna.

Jekk il-gateway huwa l-limitazzjoni

Ipprovdi identitajiet separati għal nies separati. Kont kondiviż wieħed użat minn żewġ laptops hija l-arranġament li joħloq dan is-sintomu fuq servers konfigurati għal sessjoni waħda, u l-ebda konfigurazzjoni lokali ma tissewwi deċiżjoni meħuda fit-tarf l-ieħor.

Staqsi lis-sid tal-gateway liema politika tapplika: sessjoni waħda għal kull kont, waħda għal kull ċertifikat, jew l-ebda limitu. It-tweġiba tagħhom tiddetermina jekk għandekx bżonn kredenzjali ġodda jew router ġdid.

Il-verifika hija l-parti li n-nies jaqbżu. Ħaddem traffiku utli miż-żewġ klijenti għal żmien itwal mill-intervall li kien ifalli qabel, għax żewġ dħuliet li jirnexxu jippruvaw biss li l-awtentikazzjoni ħadmet darba kull waħda.