Għaliex jgħaqqad biss klijent VPN wieħed wara l-istess router

Żewġ laptops jinsabu fuq l-istess netwerk tad-dar, u l-VPN tal-uffiċċju jaċċetta eżattament wieħed minnhom. It-tieni wieħed jew jaqbeż iż-żmien jew jistenna sakemm l-ewwel wieħed jiskonnettja, u ħadd ma mess setting tal-klijent bejn iż-żewġ tentattivi. Il-kredenzjali huma l-istess dawk li ħadmu minuta ilu, u dan huwa l-ħjiel li l-awtentikazzjoni mhijiex il-falliment. Tliet mekkaniżmi jipproduċu dan il-mudell, u l-log tas-server innifsu jgħid liema qed tiffaċċja.

Aqra l-log tal-gateway qabel ma tmiss klijent

Ir-rekord tas-server taż-żewġ tentattivi jwieġeb l-ewwel mistoqsija, u jwieġeb b'wieħed minn tliet modi. Jekk it-tieni tentattiv qatt ma jidher f'dak il-log, il-pakkett qatt ma wasal għand is-semmiegħa, u l-problema hija tar-router tad-dar jew tal-passaġġ tal-fornitur. Jekk il-log jirreġistra tentattiv u jirrifjutah, il-mina waslet, għalhekk il-kwistjoni hija identità, liċenzja jew limitu ta' sessjonijiet, mhux xi ħaġa fuq il-wajer. Jekk il-log jirreġistra sessjoni ta' suċċess waqt li l-klijent għadu jirrapporta falliment, ħares lejn il-passaġġ tar-ritorn jew lejn jekk żewġ klijenti qed jingħataw l-istess indirizz tal-mina.

Hotspot mill-telefon jifred dawk il-familji b'mod irħis: ħaddem it-tieni klijent fuq data mobbli waqt li l-ewwel wieħed jibqa' konness. Is-suċċess hemmhekk jindika n-netwerk tad-dar, u l-istess falliment hemmhekk jindika l-gateway, li jħalli r-router innoċenti. L-ebda riżultat mhuwa konklużiv waħdu, imma kull wieħed ineħħi nofs l-ispazju tat-tiftix f'tentattiv wieħed.

Ikteb ir-riżultat qabel ma tbiddel xi ħaġa, għax it-tliet riżultati tal-log iwasslu għal tliet tiswijiet mhux relatati. Nota li ssemmi liema mit-tlieta rajt tiswa aktar minn screenshot ta' żball tal-klijent.

X'jagħmel ir-router bil-GRE u n-NAT-T

PPTP huwa l-ħati klassiku: il-kanal tal-kontroll huwa TCP 1723 filwaqt li l-passaġġ tad-data huwa GRE, il-protokoll IP 47. Ħafna routers tal-konsumatur jiġu b'assistent PPTP li jsegwi konnessjoni waħda ta' kontroll, għalhekk it-tieni klijent wara l-istess NAT jiftaħ il-kanal tal-kontroll tiegħu u mbagħad ma jirċevix passaġġ tad-data xejn. Li tibgħat 'il quddiem port TCP bin-numru 47 ma jagħmel xejn għall-GRE, għax il-GRE huwa numru tal-protokoll, mhux port.

L2TP fuq IPsec iġib ruħu b'mod differenti bid-disinn: IKE juża UDP 500, il-passaġġ tan-NAT iċċaqlaq it-tagħbija protetta għal UDP 4500, u l-inkapsulament jeżisti proprju biex diversi klijenti wara indirizz wieħed jistgħu jilħqu l-istess gateway. Dak id-disinn ma jwaqqafx gateway jew kaxxa intermedja milli timponi limitu ta' sessjonijiet għal kull indirizz, u mis-sufan iż-żewġ fallimenti jidhru l-istess. Il-protokoll proprju ta' SoftEther għandu l-istess klassi ta' problema: router mingħajr passaġġ li jaħdem jammetti l-ewwel klijent mil-LAN u jwaddab it-tieni. Iċċekkja l-ALG jew is-swiċċ tal-passaġġ tar-router fiż-żewġ pożizzjonijiet, għax assistent miktub għal klijent eqdem jista' jħassar pakketti li jibgħat klijent tal-lum.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Limiti tal-identità li jidhru bħal limiti tat-trasport

Ir-router mhuwiex l-uniku suspettat, u l-log jiddistingwih mill-alternattiva. Meta server OpenVPN iwaħħal isem komuni ma' indirizz wieħed tal-mina, iż-żewġ apparati jirċievu dak l-indirizz, u mingħajr duplicate-cn is-sessjoni l-ġdida tkeċċi l-qadima. L-attivazzjoni ta' dik l-għażla tħalli lit-tnejn konnessi imma tħallihom b'identità waħda, ċertifikat wieħed u deċiżjoni waħda ta' revoka, li hija agħar milli tidher. It-tieni apparat imbagħad qatt ma jista' jiġi revokat waħdu, għalhekk swiċċ tal-konvenjenza jneħħi bil-kwiet kontroll li jista' jkollok bżonnu aktar tard.

Aqra l-ġurnal tas-server u l-fajl tal-istat tiegħu flimkien, għax wieħed juri d-deċiżjoni tal-awtentikazzjoni u l-ieħor juri min huwa konness bħalissa. Żewġ entrati li jaqsmu isem komuni u indirizz virtwali wieħed jikkonfermaw kolliżjoni tal-identità u mhux limitu tar-router. Il-gateways kummerċjali jżidu limiti tagħhom, bħal pjan li jippermetti sessjoni waħda fl-istess ħin, għadd ta' liċenzji jew regola li tippermetti sessjoni waħda għal kull indirizz pubbliku, u l-ebda setting tar-router ma jbiddel xejn minn dan.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Qabbel it-tiswija mal-entrata tal-log

Rifjut fil-log jeħtieġ kredenzjali separati għal kull apparat, limitu ogħla minn min imexxi s-servizz, jew it-tieni punt tat-tarf tal-gateway għal magna waħda. Jekk l-ebda tieni tentattiv qatt ma jasal għas-server, it-tiswija dejjiema hija router li jgħaddi l-protokoll u jżomm aktar minn sessjoni waħda, jew trasport li r-router imexxi tajjeb, bħal fluss wieħed TCP jew UDP. L-għażla bejniethom hija deċiżjoni dwar il-ħajja tal-ħardwer, mhux dwar is-settings tal-klijent.

Tikkupjax il-profil ta' apparat li jaħdem fuq it-tieni magna u tgħid li spiċċa x-xogħol. Dan ibiddel problema ta' konnessjoni f'problema ta' kontroll tal-aċċess, għax laptop mitluf ma jistax jiġi distint aktar mill-kopja li għadha tintuża. Jaħbi wkoll il-ħsara oriġinali, li terġa' lura fil-mument li jidher it-tielet apparat.

Verifika ta' żewġ sessjonijiet ħajjin

Qabbad iż-żewġ apparati fl-istess ħin, ħaddem l-applikazzjoni maħsuba fuq kull wieħed, imbagħad erġa' qabbad wieħed minnhom u rrepeti. It-tieni ikona li tidher għal mument ma tipprova xejn dwar it-traffiku, u sessjoni li taqa' wara għaxar minuti hija bug ieħor b'proprjetarju ieħor. Qabbel dak li jirrapporta s-server fl-aħħar ma' dak li raw l-utenti, għax dawn iż-żewġ rendikonti spiss ma jaqblux.

Jekk iż-żewġ sessjonijiet jibqgħu ħajjin u jġorru traffiku, it-tiswija tinżamm, u n-nota li ktibt fil-bidu ssir ir-rekord ta' dak li kien ħażin. Jekk jibqa' ħaj wieħed biss, erġa' lura għall-ewwel pass u ċċekkja liema mit-tliet riżultati tal-log għandek issa, għax it-tweġiba tista' tkun inbidlet. L-assistenti tar-router jistgħu jaħbu problema li terġa' tidher fuq netwerk ieħor, filwaqt li limitu għal kull indirizz isegwi lill-utent u mhux lill-apparat. L-ittestjar minn netwerk ieħor huwa l-irħas mod kif issir taf liema minn dawn fil-fatt tajt tort.