Dreper den andre L2TP-klienten den første? Les innkapslingen

Én bærbar PC holder en fungerende tunnel gjennom kontorruteren. En andre bærbar PC i samme rom kobler til, og den første faller ut. Hvis det er hele symptomet, står tre ulike årsaker fortsatt på bordet, og hvilken rettelse som gjelder avhenger av ting du ennå ikke har målt. Den delte ruteren er relevant, men ikke automatisk skyldig, og protokollen heller ikke.

Tre årsaker som ser identiske ut fra sofaen

Den første kandidaten er ruterens håndtering av IPsec. Billige forbrukerutere markedsfører ofte gjennomføring og implementerer den for én klient om gangen, fordi mekanismen følger én peer og ikke kan skille to bærbare PC-er bak samme offentlige adresse. Symptomet er nøyaktig det du ville forvente: den nyere økten vinner.

Den andre er kontoen. Mange VPN-servere tillater én økt per identitet og kobler fra den eldre når de samme påloggingsdetaljene autentiseres på nytt, noe som er en policybeslutning på gatewayen og ikke har noe med ruteren din å gjøre. Se etter den eksplisitte meldingen i serverloggen før du kjøper maskinvare.

Den tredje er en enkel feilkonfigurasjon: to profiler peker på samme identitet, den ene med en utdatert forhåndsdelt nøkkel eller et sertifikat gatewayen ikke lenger godtar. Den viser seg vanligvis som en mislykket andre tilkobling i stedet for at den første faller, så feilens form forteller deg allerede noe.

Hva L2TP/IPsec faktisk sender gjennom ruteren

IKE kjører over UDP 500. Databanen er ESP, som er IP-protokoll 50 og ikke bærer TCP- eller UDP-porter i det hele tatt. En ruter som bare forstår porter har derfor ingenting å gripe tak i, og det er nettopp derfor gjennomføringsmekanismen finnes.

Med NAT-gjennomføring kapsles ESP inn i UDP 4500. Nå har ruteren en kildeport å tilordne, og hver bærbar PC får sin egen oversettelse, slik at gatewayen kan skille to strømmer. Det er mekanismen som i det hele tatt gjør flere klienter bak én adresse mulig.

Forskjellen betyr noe når du leser funksjonslisten til en ruter. En etikett som sier IPsec-gjennomføring forteller deg at leverandøren har en eller annen mekanisme; den forteller deg ikke om den mekanismen støtter flere klienter eller hvordan den oppfører seg når den andre kommer.

strongSwans dokumentasjon om NAT-gjennomføring beskriver selve innkapslingen, og det er den delen du kan verifisere fra pakkeopptak i stedet for fra en markedsføringsside.

Hvordan finne ut hvilken årsak du faktisk har

Gjør fire observasjoner og skriv ned hvert resultat. Hver bærbar PC alene: virker det, og hvor lenge? Begge samtidig: hvilken overlever? Den andre bærbare PC-en på et telefonhotspot: blir den første stående? Og på gatewayen: viser serverloggen en ny økt som erstatter en gammel, eller viser den én klient som bare blir stille?

Disse svarene skiller kandidatene rent. En erstatningsmelding i serverloggen peker på identitetspolicyen. En klient som slutter å motta trafikk mens ruteren viser en ny oversettelse, peker på ruteren. To klienter som begge ikke fullfører IKE, peker på konfigurasjon eller påloggingsdetaljer.

Behold de samme profilene hele veien. Å bytte profil mellom tester betyr at du måler to variabler samtidig, og konklusjonen vil være feil på en måte som er svært vanskelig å legge merke til.

Ta opptak på ruteren hvis den støtter det, eller på én bærbar PC mens den andre kobler til. Å se pakkene til den andre klienten dukke opp mens den førstes stopper, er sterkere bevis enn noe tilkoblet-ikon.

Hvis ruteren er begrensningen

Bruk leverandørens dokumenterte konfigurasjon for flere klienter hvis den finnes, eller bytt enheten med en hvis dokumentasjon sier det du trenger. Det er et lite glamorøst svar, og det er det eneste som overlever en fastvareoppdatering.

Det som ikke fungerer, er å legge til to identiske innkommende videresendinger mot to forskjellige bærbare PC-er. En videresending forteller ruteren hvor den skal sende ankommende trafikk; den forteller den ikke hvilken av to aktive strømmer en pakke tilhører, og tvetydigheten er feilen.

Hvis ruteren ikke kan byttes, sett én klient bak en annen vei. Et telefonhotspot er en dårlig permanent løsning og en helt god diagnostisk.

Hvis gatewayen er begrensningen

Skaff separate identiteter for separate personer. Én delt konto som brukes av to bærbare PC-er, er ordningen som skaper dette symptomet på servere konfigurert for én økt, og ingen lokal konfigurasjon retter en beslutning som er tatt i den andre enden.

Spør eieren av gatewayen hvilken policy som gjelder: én økt per konto, én per sertifikat, eller ingen grense i det hele tatt. Svaret deres avgjør om du trenger nye påloggingsdetaljer eller en ny ruter.

Verifiseringen er den delen folk hopper over. Kjør nyttig trafikk fra begge klientene lenger enn intervallet som pleide å feile, fordi to vellykkede pålogginger bare beviser at autentiseringen virket én gang hver.