L2TP/IPsec liga numa rede e expira noutra

O mesmo portátil, o mesmo perfil e a mesma palavra-passe funcionam num edifício e falham noutro. Essa comparação é a prova mais útil do pedido, e costuma ser a primeira coisa a ser descartada. Entre duas redes de acesso, a troca passa por uma tradução de endereços diferente, filtros diferentes e auxiliares de router diferentes. Manter o cliente fixo e mudar apenas a rede é a forma de descobrir qual desses elementos importa.

Fixe o cliente antes de comparar redes

Não altere nada no dispositivo até ter um registo do caso que funciona: versão do cliente, conteúdo do perfil, nome do servidor e hora da ligação bem-sucedida. Reproduza depois a falha na segunda rede durante a mesma sessão, para que o estado do cliente seja o mais idêntico possível. Um perfil editado entre as duas tentativas invalida toda a comparação. O objetivo é uma só variável, e essa variável é a rede.

Confirme primeiro o acesso normal à internet na rede que falha, incluindo um portal de convidados, se existir. Um portal que nunca foi cumprido produz um tempo de espera que se parece exatamente com um túnel filtrado, e essa verificação leva um minuto.

Quatro fases, quatro mensagens de erro diferentes

Uma ligação L2TP/IPsec atravessa quatro fases, e RFC 3193 descreve a disposição que liga as duas primeiras. A negociação IKE é onde um caminho filtrado produz um tempo de espera silencioso. A autenticação IPsec é onde uma divergência de certificado ou de chave pré-partilhada produz, em vez disso, uma rejeição explícita. A montagem do túnel L2TP é onde uma associação de segurança já estabelecida pode ainda assim não levar a lado nenhum, e o início de sessão PPP é onde uma credencial errada produz finalmente uma falha visível. Leia o registo da fase que parou, não da última linha que imprimiu.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

O registo do strongSwan mostra se a troca IKE chegou a uma proposta e se o par respondeu sequer, o que separa a alcançabilidade da política. O registo do xl2tpd retoma onde o IPsec termina, por isso uma associação de segurança estabelecida sem nada nesse registo aponta para a fase L2TP. A consulta de rota confirma que o cliente está a enviar para o endereço de servidor que pensa, o que apanha uma resposta DNS desatualizada herdada da rede anterior. Em conjunto, as três saídas nomeiam uma fase em vez de um sintoma.

Compare a profundidade de NAT e o comportamento do auxiliar

A travessia de NAT coloca o tráfego protegido em encapsulamento UDP quando é detetada tradução, pelo que os números de porta que transportam uma sessão funcional podem diferir dos de um diagrama estático. Permitir um único pacote de configuração não prova nada sobre o resto da troca, e uma análise externa de portas não lhe pode dizer como o par trata o tráfego autenticado válido. Uma segunda camada de tradução muda outra vez o quadro, porque o mapeamento passa a existir duas vezes e expira segundo dois calendários diferentes. A tradução de nível de operador numa ligação móvel é a razão habitual para um perfil de escritório que funciona falhar num hotspot de telemóvel.

Os auxiliares do router variam tanto como as redes. Alguns firmwares intercetam e reescrevem a troca, outros apenas deixam de a descartar, e outros aplicam a definição só num modo antigo. Leia a descrição que o próprio firmware faz da caixa, e onde exista um modo de compatibilidade, teste-o como uma alteração deliberada em vez de três de uma vez.

Cliente de saída, servidor de entrada: dois problemas diferentes

Um cliente de saída e um servidor de entrada precisam de alcançabilidade a montante diferente, e uma função de passagem que ajuda o primeiro não faz nada pelo segundo. Um router doméstico que deixa o portátil chegar a um gateway remoto não aceita por isso ligações de entrada para um servidor atrás dele. Confundir os dois manda-o procurar um reencaminhamento de portas que nunca foi o problema. Declare que papel tem o dispositivo que falha antes de comparar seja o que for.

Depois de uma alteração suportada, repita a mesma ligação e registe a fase que atingiu. Guarde juntos o perfil funcional e a nota sobre a rede que falha, e não reponha as credenciais nem reinstale o cliente, porque isso descarta a prova em que a comparação foi construída.