Doodt de tweede L2TP-client de eerste? Lees de inkapseling

Eén laptop houdt een werkende tunnel in stand via de router van het kantoor. Een tweede laptop in dezelfde kamer maakt verbinding en de eerste valt weg. Als dat het hele symptoom is, staan er nog drie verschillende oorzaken op tafel, en welke oplossing geldt hangt af van dingen die je nog niet hebt gemeten. De gedeelde router is relevant, maar niet automatisch schuldig, en het protocol ook niet.

Drie oorzaken die vanaf de bank identiek lijken

De eerste kandidaat is de manier waarop de router met IPsec omgaat. Goedkope consumentenrouters adverteren vaak met pass-through en implementeren die voor één client tegelijk, omdat het mechanisme één peer volgt en twee laptops achter hetzelfde openbare adres niet kan scheiden. Het symptoom is precies wat je zou verwachten: de nieuwere sessie wint.

De tweede is het account. Veel VPN-servers staan één sessie per identiteit toe en verbreken de oudere wanneer dezelfde inloggegevens opnieuw authenticeren, wat een beleidsbeslissing op de gateway is en niets met je router te maken heeft. Zoek die expliciete melding in het serverlog voordat je hardware koopt.

De derde is een simpele verkeerde configuratie: twee profielen wijzen naar dezelfde identiteit, één ervan met een verouderde vooraf gedeelde sleutel of een certificaat dat de gateway niet meer accepteert. Die uit zich meestal als een mislukte tweede verbinding in plaats van een weggevallen eerste, dus de vorm van de fout zegt je al iets.

Wat L2TP/IPsec werkelijk door de router stuurt

IKE draait over UDP 500. Het datapad is ESP, dat is IP-protocol 50 en draagt helemaal geen TCP- of UDP-poorten. Een router die alleen poorten begrijpt heeft dus niets om op af te gaan, en precies daarom bestaat het pass-through-mechanisme.

Met NAT-traversal wordt ESP ingekapseld in UDP 4500. Nu heeft de router een bronpoort om te vertalen, en elke laptop krijgt zijn eigen vertaling, zodat de gateway twee stromen kan onderscheiden. Dat is het mechanisme dat meerdere clients achter één adres überhaupt mogelijk maakt.

Het onderscheid is belangrijk wanneer je de functielijst van een router leest. Een label dat IPsec-pass-through zegt, vertelt je dat de fabrikant een of ander mechanisme heeft; het vertelt je niet of dat mechanisme meerdere clients ondersteunt of hoe het zich gedraagt wanneer de tweede aankomt.

De NAT-traversal-documentatie van strongSwan beschrijft de inkapseling zelf, en dat is het deel dat je kunt verifiëren aan de hand van pakketopnamen in plaats van een marketingpagina.

Hoe je erachter komt welke oorzaak je werkelijk hebt

Doe vier waarnemingen en schrijf elk resultaat op. Elke laptop alleen: werkt het, en hoe lang? Beide tegelijk: welke overleeft? De tweede laptop op een hotspot van een telefoon: blijft de eerste overeind? En op de gateway: toont het serverlog een nieuwe sessie die een oude vervangt, of toont het één client die simpelweg stil wordt?

Die antwoorden scheiden de kandidaten netjes. Een vervangingsbericht in het serverlog wijst op het identiteitsbeleid. Een client die stopt met het ontvangen van verkeer terwijl de router een nieuwe vertaling toont, wijst op de router. Twee clients die beide IKE niet afronden, wijzen op de configuratie of de inloggegevens.

Houd doorlopend dezelfde profielen aan. Het profiel tussen tests wisselen betekent dat je twee variabelen tegelijk meet, en de conclusie zal fout zijn op een manier die heel moeilijk te merken is.

Leg vast op de router als die dat ondersteunt, of op één laptop terwijl de andere verbinding maakt. Zien dat de pakketten van de tweede client verschijnen terwijl die van de eerste stoppen, is sterker bewijs dan welk verbonden-pictogram dan ook.

Als de router de beperking is

Gebruik de gedocumenteerde multi-clientconfiguratie van de fabrikant als die bestaat, of vervang het apparaat door een waarvan de documentatie zegt wat je nodig hebt. Dat is een onglamoureus antwoord en het enige dat een firmware-update overleeft.

Wat niet werkt, is twee identieke inkomende doorsturingen naar twee verschillende laptops toevoegen. Een doorsturing vertelt de router waar het binnenkomende verkeer naartoe moet; ze vertelt hem niet bij welke van twee actieve stromen een pakket hoort, en die dubbelzinnigheid is de bug.

Als de router niet vervangen kan worden, zet één client achter een ander pad. Een hotspot van een telefoon is een slechte permanente oplossing en een prima diagnostische.

Als de gateway de beperking is

Zorg voor aparte identiteiten voor aparte mensen. Eén gedeeld account dat door twee laptops wordt gebruikt, is de opzet die dit symptoom veroorzaakt op servers die voor één sessie zijn geconfigureerd, en geen enkele lokale configuratie lost een beslissing aan de andere kant op.

Vraag de eigenaar van de gateway welk beleid geldt: één sessie per account, één per certificaat, of helemaal geen limiet. Hun antwoord bepaalt of je nieuwe inloggegevens of een nieuwe router nodig hebt.

De verificatie is het deel dat mensen overslaan. Laat nuttig verkeer van beide clients langer lopen dan het interval dat eerder faalde, want twee geslaagde aanmeldingen bewijzen alleen dat de authenticatie elk één keer heeft gewerkt.