L2TP/IPsec werkt op het ene netwerk en loopt op het andere vast

Dezelfde laptop, hetzelfde profiel en hetzelfde wachtwoord werken in het ene gebouw en falen in het andere. Die vergelijking is het nuttigste bewijs in de melding, en het is meestal het eerste dat wordt weggegooid. Tussen twee toegangsnetwerken gaat de uitwisseling door andere adresvertaling, andere filters en andere routerhelpers. De client gelijk houden en alleen het netwerk wisselen is hoe u erachter komt welke daarvan ertoe doet.

Leg de client vast voordat u netwerken vergelijkt

Verander niets op het apparaat tot u het werkende geval hebt vastgelegd: clientversie, profielinhoud, servernaam en het tijdstip van de geslaagde verbinding. Reproduceer daarna de fout op het tweede netwerk tijdens dezelfde sessie, zodat de clientstatus zo identiek mogelijk is. Een profiel dat tussen de twee pogingen is bewerkt, maakt de hele vergelijking ongeldig. Het doel is één variabele, en die variabele is het netwerk.

Bevestig eerst gewone internettoegang op het falende netwerk, inclusief een gastportaal als dat er is. Een portaal waaraan nooit is voldaan, levert een time-out op die er precies uitziet als een gefilterde tunnel, en die controle kost een minuut.

Vier fasen, vier verschillende foutmeldingen

Een L2TP/IPsec-verbinding doorloopt vier fasen, en RFC 3193 beschrijft de regeling die de eerste twee verbindt. IKE-onderhandeling is waar een gefilterd pad een stille time-out oplevert. IPsec-authenticatie is waar een verschil in certificaat of vooraf gedeelde sleutel juist een expliciete afwijzing oplevert. De L2TP-tunnelopzet is waar een gevestigde beveiligingsassociatie toch nergens heen kan leiden, en de PPP-login is waar een verkeerd inloggegeven eindelijk een zichtbare fout oplevert. Lees het log voor de fase die stopte, niet voor de laatste regel die werd afgedrukt.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Het strongSwan-log laat zien of de IKE-uitwisseling een voorstel bereikte en of de peer überhaupt antwoordde, wat bereikbaarheid van beleid scheidt. Het xl2tpd-log pakt op waar IPsec eindigt, dus een gevestigde beveiligingsassociatie zonder iets in dat log wijst naar de L2TP-fase. De routequery bevestigt dat de client naar het serveradres stuurt dat u denkt, en vangt zo een verouderd DNS-antwoord van het vorige netwerk. Samen noemen de drie uitvoer een fase in plaats van een symptoom.

NAT-diepte en helpergedrag vergelijken

NAT-traversal verplaatst beschermd verkeer naar UDP-inkapseling wanneer vertaling wordt gedetecteerd, zodat de poortnummers van een werkende sessie kunnen afwijken van die in een statisch diagram. Eén opzetpakket toestaan bewijst niets voor de rest van de uitwisseling, en een externe poortscan kan u niet vertellen hoe de peer met geldig geauthenticeerd verkeer omgaat. Een tweede vertaallaag verandert het beeld opnieuw, omdat de toewijzing nu twee keer bestaat en volgens twee verschillende schema's verloopt. Vertaling op providerniveau op een mobiele verbinding is de gebruikelijke reden waarom een werkend kantoorprofiel op een telefoonhotspot faalt.

Routerhelpers verschillen net zoveel als de netwerken. Sommige firmware onderschept en herschrijft de uitwisseling, sommige stopt alleen met het laten vallen ervan, en sommige past de instelling alleen toe in een oude modus. Lees de eigen beschrijving van de firmware bij het selectievakje, en test een compatibiliteitsmodus, waar die bestaat, als één bewuste wijziging in plaats van drie tegelijk.

Uitgaande client, inkomende server: twee verschillende problemen

Een uitgaande client en een inkomende server hebben verschillende bereikbaarheid upstream nodig, en een doorgiftefunctie die de eerste helpt, doet niets voor de tweede. Een thuisrouter die de laptop naar een externe gateway laat komen, accepteert daardoor geen inkomende verbindingen naar een server erachter. De twee verwarren stuurt u op zoek naar poortdoorschakeling die nooit het probleem was. Benoem welke rol het falende apparaat speelt voordat u iets vergelijkt.

Herhaal na een ondersteunde wijziging dezelfde verbinding en noteer de fase die werd bereikt. Houd het werkende profiel en de notitie over het falende netwerk bij elkaar, en reset geen inloggegevens en herinstalleer de client niet, want dat gooit het bewijs weg waarop de vergelijking is gebouwd.