Czy drugi klient L2TP zabija pierwszego? Przeczytaj kapsułkowanie

Jeden laptop utrzymuje działający tunel przez router biurowy. Drugi laptop w tym samym pokoju łączy się i pierwszy odpada. Jeśli to cały objaw, na stole wciąż są trzy różne przyczyny, a to, która poprawka zadziała, zależy od rzeczy, których jeszcze nie zmierzyłeś. Wspólny router ma znaczenie, ale nie jest automatycznie winny, podobnie jak protokół.

Trzy przyczyny, które z kanapy wyglądają identycznie

Pierwszym kandydatem jest sposób, w jaki router obsługuje IPsec. Tanie routery konsumenckie często reklamują przepuszczanie i realizują je dla jednego klienta naraz, ponieważ mechanizm śledzi jednego partnera i nie potrafi rozdzielić dwóch laptopów za tym samym publicznym adresem. Objaw jest dokładnie taki, jakiego można się spodziewać: wygrywa nowsza sesja.

Drugim jest konto. Wiele serwerów VPN pozwala na jedną sesję na tożsamość i rozłącza starszą, gdy te same dane logowania uwierzytelnią się ponownie, co jest decyzją polityki na bramie i nie ma nic wspólnego z twoim routerem. Zanim kupisz sprzęt, poszukaj tego wyraźnego komunikatu w logu serwera.

Trzecim jest zwykła błędna konfiguracja: dwa profile wskazują tę samą tożsamość, jeden z nich z nieaktualnym kluczem współdzielonym lub certyfikatem, którego brama już nie akceptuje. Ten zwykle objawia się jako nieudane drugie połączenie, a nie jako utrata pierwszego, więc kształt awarii już ci coś mówi.

Co L2TP/IPsec naprawdę wysyła przez router

IKE działa na UDP 500. Ścieżka danych to ESP, czyli protokół IP 50, który nie przenosi żadnych portów TCP ani UDP. Router rozumiejący tylko porty nie ma więc na czym się oprzeć, i właśnie dlatego istnieje mechanizm przepuszczania.

Z przechodzeniem NAT ESP jest kapsułkowany w UDP 4500. Teraz router ma port źródłowy do mapowania, a każdy laptop dostaje własne tłumaczenie, więc brama może rozróżnić dwa strumienie. To mechanizm, który w ogóle umożliwia pracę wielu klientom za jednym adresem.

To rozróżnienie ma znaczenie, gdy czytasz listę funkcji routera. Etykieta mówiąca o przepuszczaniu IPsec informuje, że producent ma jakiś mechanizm; nie mówi, czy obsługuje on wielu klientów ani jak zachowuje się, gdy pojawia się drugi.

Dokumentacja strongSwan dotycząca przechodzenia NAT opisuje samo kapsułkowanie, i to jest ta część, którą możesz zweryfikować na podstawie przechwyconych pakietów, a nie strony marketingowej.

Jak ustalić, która przyczyna faktycznie występuje

Wykonaj cztery obserwacje i zapisz każdy wynik. Każdy laptop osobno: czy działa i jak długo? Oba naraz: który przetrwa? Drugi laptop na hotspocie telefonu: czy pierwszy się utrzyma? I na bramie: czy log serwera pokazuje nową sesję zastępującą starą, czy jednego klienta, który po prostu milknie?

Te odpowiedzi czysto rozdzielają kandydatów. Komunikat o zastąpieniu w logu serwera wskazuje na politykę tożsamości. Klient, który przestaje odbierać ruch, gdy router pokazuje nowe tłumaczenie, wskazuje na router. Dwaj klienci, którzy obaj nie kończą IKE, wskazują na konfigurację lub dane logowania.

Przez cały czas utrzymuj te same profile. Zmiana profilu między testami oznacza, że mierzysz dwie zmienne naraz, a wniosek będzie błędny w sposób bardzo trudny do zauważenia.

Przechwyć na routerze, jeśli to obsługuje, albo na jednym laptopie, gdy drugi się łączy. Widok pakietów drugiego klienta pojawiających się, gdy pakiety pierwszego się zatrzymują, jest silniejszym dowodem niż dowolna ikona połączenia.

Jeśli ograniczeniem jest router

Użyj udokumentowanej konfiguracji wieloklienckiej producenta, jeśli istnieje, albo wymień urządzenie na takie, którego dokumentacja mówi, czego potrzebujesz. To mało efektowna odpowiedź i jedyna, która przetrwa aktualizację firmware.

Nie działa dodawanie dwóch identycznych przekierowań przychodzących do dwóch różnych laptopów. Przekierowanie mówi routerowi, gdzie wysłać przychodzący ruch; nie mówi, do którego z dwóch aktywnych strumieni należy pakiet, i ta niejednoznaczność jest błędem.

Jeśli routera nie można wymienić, umieść jednego klienta za inną ścieżką. Hotspot telefonu to złe rozwiązanie stałe i całkiem dobre diagnostyczne.

Jeśli ograniczeniem jest brama

Zapewnij oddzielne tożsamości dla oddzielnych osób. Jedno wspólne konto używane przez dwa laptopy to układ, który wywołuje ten objaw na serwerach skonfigurowanych na jedną sesję, i żadna lokalna konfiguracja nie naprawi decyzji podjętej na drugim końcu.

Zapytaj właściciela bramy, jaka polityka obowiązuje: jedna sesja na konto, jedna na certyfikat czy brak limitu. Ich odpowiedź decyduje, czy potrzebujesz nowych danych logowania, czy nowego routera.

Weryfikacja to część, którą ludzie pomijają. Przepuść użyteczny ruch z obu klientów dłużej niż interwał, który wcześniej zawodził, ponieważ dwa udane logowania dowodzą tylko, że uwierzytelnianie zadziałało po razie u każdego.