O segundo cliente L2TP mata o primeiro? Leia a encapsulação

Um portátil mantém um túnel funcional através do router do escritório. Um segundo portátil na mesma sala liga-se, e o primeiro cai. Se esse é todo o sintoma, três causas diferentes continuam em cima da mesa, e qual correção se aplica depende de coisas que ainda não mediu. O router partilhado é relevante, mas não é automaticamente culpado, e o protocolo também não.

Três causas que parecem idênticas do sofá

O primeiro candidato é a forma como o router lida com IPsec. Routers de consumo baratos anunciam frequentemente pass-through e implementam-no para um cliente de cada vez, porque o mecanismo segue um único par e não consegue separar dois portáteis atrás do mesmo endereço público. O sintoma é exatamente o que esperaria: a sessão mais recente ganha.

A segunda é a conta. Muitos servidores VPN permitem uma sessão por identidade e desligam a mais antiga quando as mesmas credenciais se autenticam de novo, o que é uma decisão de política no gateway e nada tem a ver com o seu router. Procure essa mensagem explícita no registo do servidor antes de comprar hardware.

A terceira é uma simples má configuração: dois perfis apontam para a mesma identidade, um deles com uma chave pré-partilhada desatualizada ou um certificado que o gateway já não aceita. Essa costuma manifestar-se como uma segunda ligação falhada em vez de uma primeira queda, por isso a forma da falha já lhe diz algo.

O que o L2TP/IPsec envia realmente através do router

O IKE funciona sobre UDP 500. O caminho de dados é o ESP, que é o protocolo IP 50 e não transporta quaisquer portas TCP ou UDP. Um router que só entende portas não tem, portanto, em que se apoiar, e é exatamente por isso que existe o mecanismo de pass-through.

Com a travessia NAT, o ESP é encapsulado dentro de UDP 4500. Agora o router tem uma porta de origem para mapear, e cada portátil recebe a sua própria tradução, pelo que o gateway consegue distinguir dois fluxos. É este o mecanismo que torna possível que vários clientes atrás de um endereço funcionem.

A distinção importa quando lê a lista de funcionalidades de um router. Uma etiqueta que diz pass-through IPsec diz-lhe que o fabricante tem algum mecanismo; não lhe diz se esse mecanismo suporta vários clientes nem como se comporta quando chega o segundo.

A documentação do strongSwan sobre a travessia NAT descreve a própria encapsulação, e essa é a parte que pode verificar a partir de capturas de pacotes em vez de uma página de marketing.

Como saber que causa tem realmente

Faça quatro observações e anote cada resultado. Cada portátil sozinho: funciona, e durante quanto tempo? Os dois ao mesmo tempo: qual sobrevive? O segundo portátil num hotspot do telemóvel: o primeiro mantém-se? E no gateway: o registo do servidor mostra uma sessão nova a substituir uma antiga, ou mostra um cliente que simplesmente fica em silêncio?

Essas respostas separam os candidatos com clareza. Uma mensagem de substituição no registo do servidor aponta para a política de identidade. Um cliente que deixa de receber tráfego enquanto o router mostra uma tradução nova aponta para o router. Dois clientes que ambos não completam o IKE apontam para a configuração ou as credenciais.

Mantenha os mesmos perfis do início ao fim. Mudar de perfil entre testes significa que está a medir duas variáveis ao mesmo tempo, e a conclusão será errada de uma forma muito difícil de notar.

Capture no router se ele o suportar, ou num portátil enquanto o outro se liga. Ver os pacotes do segundo cliente aparecerem enquanto os do primeiro param é uma prova mais sólida do que qualquer ícone de ligação.

Se o router é a limitação

Use a configuração multi-cliente documentada pelo fabricante se existir, ou substitua o dispositivo por um cuja documentação diga o que precisa. É uma resposta pouco glamorosa e a única que sobrevive a uma atualização de firmware.

O que não funciona é acrescentar dois reencaminhamentos de entrada idênticos para dois portáteis diferentes. Um reencaminhamento diz ao router para onde enviar o tráfego que chega; não lhe diz a qual de dois fluxos ativos pertence um pacote, e a ambiguidade é o erro.

Se o router não pode ser substituído, coloque um cliente atrás de um caminho diferente. Um hotspot do telemóvel é uma má solução permanente e uma solução de diagnóstico perfeitamente boa.

Se o gateway é a limitação

Preveja identidades separadas para pessoas separadas. Uma conta partilhada usada por dois portáteis é a disposição que produz este sintoma em servidores configurados para uma única sessão, e nenhuma configuração local corrige uma decisão tomada no outro extremo.

Pergunte ao proprietário do gateway que política se aplica: uma sessão por conta, uma por certificado, ou nenhum limite. A resposta deles decide se precisa de credenciais novas ou de um router novo.

A verificação é a parte que as pessoas saltam. Faça passar tráfego útil dos dois clientes durante mais tempo do que o intervalo que antes falhava, porque dois inícios de sessão bem-sucedidos só provam que a autenticação funcionou uma vez em cada caso.