Drep den andre L2TP-klienten den første? Les innkapslinga

Éin berbar PC held ein fungerande tunnel gjennom kontorrutaren. Ein andre berbar PC i same rom koplar til, og den første fell ut. Viss det er heile symptomet, står tre ulike årsaker framleis på bordet, og kva retting som gjeld avheng av ting du enno ikkje har målt. Den delte rutaren er relevant, men ikkje automatisk skuldig, og protokollen heller ikkje.

Tre årsaker som ser identiske ut frå sofaen

Den første kandidaten er korleis rutaren handterer IPsec. Billeg forbrukar-rutarar marknadsfører ofte gjennomføring og implementerer ho for éin klient om gongen, fordi mekanismen følgjer éin partnar og ikkje kan skilje to berbare PC-ar bak same offentlege adresse. Symptomet er nøyaktig det du ville vente: den nyare økta vinn.

Den andre er kontoen. Mange VPN-tenarar tillèt éi økt per identitet og koplar frå den eldre når dei same påloggingsdetaljane vert autentiserte på nytt, noko som er ei policyavgjerd på gatewayen og ikkje har noko med rutaren din å gjere. Sjå etter den eksplisitte meldinga i tenarloggen før du kjøper maskinvare.

Den tredje er ein enkel feilkonfigurasjon: to profilar peikar på same identitet, den eine med ein utdatert førehandsdel nøkkel eller eit sertifikat gatewayen ikkje lenger godtek. Den viser seg vanlegvis som ei mislukka andre tilkopling i staden for at den første fell, så forma på feilen fortel deg allereie noko.

Kva L2TP/IPsec faktisk sender gjennom rutaren

IKE køyrer over UDP 500. Databanen er ESP, som er IP-protokoll 50 og ikkje ber TCP- eller UDP-portar i det heile. Ein ruter som berre forstår portar har difor ingenting å gripe i, og det er nettopp difor gjennomføringsmekanismen finst.

Med NAT-gjennomføring vert ESP kapsla inn i UDP 4500. No har rutaren ein kjeldeport å tilordne, og kvar berbar PC får si eiga omsetjing, slik at gatewayen kan skilje to straumar. Det er mekanismen som i det heile gjer fleire klientar bak éi adresse mogleg.

Skilnaden spelar rolle når du les funksjonslista til ein ruter. Ei etikett som seier IPsec-gjennomføring fortel deg at leverandøren har ein eller annan mekanisme; ho fortel deg ikkje om den mekanismen støttar fleire klientar eller korleis han oppfører seg når den andre kjem.

Dokumentasjonen til strongSwan om NAT-gjennomføring skildrar sjølve innkapslinga, og det er den delen du kan stadfeste frå pakkeopptak i staden for frå ei marknadsføringsside.

Korleis finne ut kva årsak du faktisk har

Gjer fire observasjonar og skriv ned kvar resultat. Kvar berbar PC åleine: verkar det, og kor lenge? Begge samtidig: kven overlever? Den andre berbare PC-en på eit telefonhotspot: blir den første ståande? Og på gatewayen: viser tenarloggen ei ny økt som erstattar ei gammal, eller viser han éin klient som berre blir stille?

Dei svara skil kandidatane reint. Ei erstatningsmelding i tenarloggen peikar på identitetspolicyen. Ein klient som sluttar å ta imot trafikk medan rutaren viser ei ny omsetjing, peikar på rutaren. To klientar som begge ikkje fullfører IKE, peikar på konfigurasjon eller påloggingsdetaljar.

Hald på dei same profilane heile vegen. Å byte profil mellom testar tyder at du måler to variablar samtidig, og konklusjonen vil vere feil på ein måte som er svært vanskeleg å leggje merke til.

Ta opptak på rutaren om han støttar det, eller på éin berbar PC medan den andre koplar til. Å sjå pakkane til den andre klienten dukke opp medan den førstes stoppar, er sterkare prov enn noko tilkopla-ikon.

Viss rutaren er avgrensinga

Bruk den dokumenterte konfigurasjonen til leverandøren for fleire klientar om han finst, eller byt eininga med ei kvar dokumentasjon seier det du treng. Det er eit lite glamorøst svar, og det er det einaste som overlever ei fastvareoppdatering.

Det som ikkje verkar, er å leggje til to identiske innkommande videresendingar mot to ulike berbare PC-ar. Ei videresending fortel rutaren kvar han skal sende ankomande trafikk; ho fortel han ikkje kva av to aktive straumar ei pakke høyrer til, og tvitydigheita er feilen.

Viss rutaren ikkje kan bytast, set éin klient bak ein annan veg. Eit telefonhotspot er ei dårleg permanent løysing og ei heilt god diagnostisk.

Viss gatewayen er avgrensinga

Skaff separate identitetar for separate personar. Éin delt konto som blir brukt av to berbare PC-ar, er ordninga som skapar dette symptomet på tenarar konfigurerte for éi økt, og ingen lokal konfigurasjon rettar ei avgjerd som er teken i den andre enden.

Spør eigaren av gatewayen kva policy som gjeld: éi økt per konto, éi per sertifikat, eller inga grense i det heile. Svaret deira avgjer om du treng nye påloggingsdetaljar eller ein ny ruter.

Stadfestinga er den delen folk hoppar over. Køyr nyttig trafikk frå begge klientane lenger enn intervallet som pleidde å feile, fordi to vellukka påloggingar berre provar at autentiseringa verka éin gong kvar.