L2TP/IPsec koplar til på eitt nettverk og går i tidsavbrot på eit anna

Same laptop, same profil og same passord fungerer i éin bygning og feilar i ein annan. Den samanlikninga er det mest nyttige provet i saka, og ho er vanlegvis det første som blir kasta. Mellom to tilgangsnettverk går utvekslinga gjennom ei anna adresseomsetjing, andre filter og andre rutarhjelparar. Å halde klienten fast og berre byte nettverk er måten å finne ut kva av dette som betyr noko.

Lås klienten før du samanliknar nettverk

Ikkje endre noko på eininga før du har ei registrering av det fungerande tilfellet: klientversjon, profilinnhald, servernamn og tidspunktet for den vellukka tilkoplinga. Gjenskap deretter feilen på det andre nettverket i same økt, slik at klienttilstanden er så identisk som mogleg. Ein profil som blir redigert mellom dei to forsøka, gjer heile samanlikninga ugyldig. Målet er éin variabel, og den variabelen er nettverket.

Stadfest først vanleg internettilgang på nettverket som feilar, inkludert ein gjesteportal om det finst ein. Ein portal som aldri vart oppfylt, gjev eit tidsavbrot som ser nøyaktig ut som ein filtrert tunnel, og den kontrollen tek eitt minutt.

Fire trinn, fire ulike feilmeldingar

Ei L2TP/IPsec-tilkopling går gjennom fire trinn, og RFC 3193 skildrar ordninga som bind dei to første. IKE-forhandlinga er der ein filtrert veg gjev eit stille tidsavbrot. IPsec-autentiseringa er der eit avvik i sertifikat eller førehandsdelt nøkkel i staden gjev ei eksplisitt avvising. L2TP-tunneloppsettet er der ein allereie etablert tryggingsassosiasjon likevel kan føre ingen stad, og PPP-innlogginga er der feil påloggingsinformasjon til slutt gjev ein synleg feil. Les loggen for trinnet som stoppa, ikkje for den siste linja som vart skriven ut.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

strongSwan-loggen viser om IKE-utvekslinga nådde eit forslag og om motparten svara i det heile, noko som skil tilgjenge frå policy. xl2tpd-loggen tek over der IPsec sluttar, så ein etablert tryggingsassosiasjon utan noko i den loggen peikar på L2TP-trinnet. Rutespurnaden stadfestar at klienten sender mot serveradressa du trur, og fangar opp eit utdatert DNS-svar som er arva frå det førre nettverket. Til saman namngjev dei tre utskriftene eit trinn i staden for eit symptom.

Samanlikn NAT-djupna og åtferda til hjelparen

NAT-gjennomtrenging flyttar verna trafikk over til UDP-innkapsling når omsetjing blir oppdaga, så portnumra som ber ei fungerande økt kan avvike frå dei i eit statisk diagram. Å tillate éin oppsettspakke provar ingenting om resten av utvekslinga, og ein ekstern portskann kan ikkje fortelje deg korleis motparten handsamar gyldig autentisert trafikk. Eit andre omsetjingslag endrar biletet igjen, fordi mappinga no finst to gonger og går ut etter to ulike tidsplanar. Omsetjing på operatørnivå på ei mobiltilkopling er den vanlege grunnen til at ein fungerande kontorprofil feilar på eit telefonhotspot.

Rutarhjelparar varierer like mykje som nettverka. Noko fastvare fangar opp og skriv om utvekslinga, noko sluttar berre å forkaste ho, og noko brukar berre innstillinga i ein eldre modus. Les fastvaren si eiga skildring av avkrysningsboksen, og der ein kompatibilitetsmodus finst, test han som éi medviten endring i staden for tre på éin gong.

Utgåande klient, innkomande server: to ulike problem

Ein utgåande klient og ein innkomande server treng ulik oppstraums tilgjenge, og ein gjennomgangsfunksjon som hjelper den første, gjer ingenting for den andre. Ein heimerutar som lèt laptopen nå ein ekstern gateway, godtek ikkje dermed innkomande tilkoplingar til ein server bak seg. Å blande dei to sender deg på jakt etter portvideresending som aldri var problemet. Oppgje kva rolle den feilande eininga har før du samanliknar noko.

Etter ei støtta endring, repetér den same tilkoplinga og registrer trinnet ho nådde. Oppbevar den fungerande profilen og notatet om det feilande nettverket saman, og ikkje tilbakestill påloggingsinformasjon eller installer klienten på nytt, for det kastar provet samanlikninga var bygd på.