L2TP/IPsec łączy się w jednej sieci, a w innej kończy się przekroczeniem czasu

Ten sam laptop, ten sam profil i to samo hasło działają w jednym budynku, a w innym zawodzą. To porównanie jest najcenniejszym dowodem w zgłoszeniu i zwykle jest pierwszą rzeczą, którą się odrzuca. Między dwiema sieciami dostępowymi wymiana przechodzi przez inne tłumaczenie adresów, inne filtry i inne pomocniki routera. Utrzymanie klienta w niezmienionym stanie i zmiana wyłącznie sieci to sposób, by dowiedzieć się, które z tych elementów mają znaczenie.

Ustal klienta, zanim porównasz sieci

Nie zmieniaj niczego na urządzeniu, dopóki nie masz zapisu działającego przypadku: wersji klienta, zawartości profilu, nazwy serwera i godziny udanego połączenia. Następnie odtwórz awarię w drugiej sieci podczas tej samej sesji, aby stan klienta był możliwie identyczny. Profil edytowany między obiema próbami unieważnia całe porównanie. Celem jest jedna zmienna, a tą zmienną jest sieć.

Najpierw potwierdź zwykły dostęp do internetu w sieci, w której występuje awaria, w tym portal gościnny, jeśli istnieje. Portal, który nigdy nie został wypełniony, daje przekroczenie czasu wyglądające dokładnie jak filtrowany tunel, a ta kontrola zajmuje minutę.

Cztery etapy, cztery różne komunikaty o błędach

Połączenie L2TP/IPsec przechodzi przez cztery etapy, a RFC 3193 opisuje układ, który wiąże dwa pierwsze. Negocjacja IKE to miejsce, w którym filtrowana ścieżka daje ciche przekroczenie czasu. Uwierzytelnianie IPsec to miejsce, w którym niezgodność certyfikatu lub klucza wstępnie współdzielonego daje zamiast tego jawne odrzucenie. Konfiguracja tunelu L2TP to miejsce, w którym ustanowione skojarzenie bezpieczeństwa wciąż może donikąd nie prowadzić, a logowanie PPP to miejsce, w którym błędne dane uwierzytelniające dają w końcu widoczny błąd. Czytaj dziennik etapu, który się zatrzymał, a nie ostatniej wypisanej linii.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Dziennik strongSwan pokazuje, czy wymiana IKE osiągnęła propozycję i czy partner w ogóle odpowiedział, co oddziela osiągalność od polityki. Dziennik xl2tpd przejmuje tam, gdzie kończy się IPsec, więc ustanowione skojarzenie bezpieczeństwa bez niczego w tym dzienniku wskazuje na etap L2TP. Zapytanie o trasę potwierdza, że klient wysyła pod adres serwera, który masz na myśli, co wychwytuje nieaktualną odpowiedź DNS odziedziczoną z poprzedniej sieci. Razem trzy wyjścia nazywają etap, a nie objaw.

Porównaj głębokość NAT i zachowanie pomocnika

Przechodzenie przez NAT przenosi chroniony ruch do enkapsulacji UDP po wykryciu tłumaczenia, więc numery portów przenoszące działającą sesję mogą różnić się od tych ze statycznego diagramu. Zezwolenie na jeden pakiet konfiguracyjny niczego nie dowodzi co do reszty wymiany, a zewnętrzne skanowanie portów nie powie ci, jak partner traktuje prawidłowy uwierzytelniony ruch. Druga warstwa tłumaczenia znów zmienia obraz, ponieważ mapowanie istnieje teraz dwa razy i wygasa według dwóch różnych harmonogramów. Tłumaczenie na poziomie operatora w połączeniu mobilnym to zwykły powód, dla którego działający profil biurowy zawodzi w hotspotcie telefonu.

Pomocniki routera różnią się tak samo jak sieci. Niektóre firmware'y przechwytują i przepisują wymianę, inne tylko przestają ją odrzucać, a jeszcze inne stosują ustawienie wyłącznie w starym trybie. Przeczytaj opis pola wyboru podany przez sam firmware i tam, gdzie istnieje tryb zgodności, przetestuj go jako jedną świadomą zmianę, a nie trzy naraz.

Klient wychodzący, serwer przychodzący: dwa różne problemy

Klient wychodzący i serwer przychodzący potrzebują innej osiągalności w kierunku nadrzędnym, a funkcja przekazywania, która pomaga pierwszemu, nie robi nic dla drugiego. Router domowy, który pozwala laptopowi dotrzeć do zdalnej bramy, nie przyjmuje przez to połączeń przychodzących do serwera za sobą. Pomylenie obu każe ci szukać przekierowania portów, które nigdy nie było problemem. Określ rolę urządzenia, które zawodzi, zanim cokolwiek porównasz.

Po obsługiwanej zmianie powtórz to samo połączenie i zanotuj osiągnięty etap. Trzymaj razem działający profil i notatkę o sieci, w której występuje awaria, i nie resetuj danych logowania ani nie reinstaluj klienta, ponieważ to odrzuca dowody, na których zbudowano porównanie.