Al doilea client L2TP îl ucide pe primul? Citiți încapsularea

Un laptop ține un tunel funcțional prin routerul biroului. Un al doilea laptop în aceeași cameră se conectează, iar primul cade. Dacă acesta este tot simptomul, trei cauze diferite sunt încă pe masă, iar ce corecție se aplică depinde de lucruri pe care nu le-ați măsurat încă. Routerul partajat este relevant, dar nu este automat vinovat, iar protocolul nici atât.

Trei cauze care arată identic de pe canapea

Primul candidat este modul în care routerul tratează IPsec. Routerele de consum ieftine anunță adesea pass-through și îl implementează pentru un singur client odată, pentru că mecanismul urmărește un singur partener și nu poate separa două laptopuri în spatele aceleiași adrese publice. Simptomul este exact cel la care v-ați aștepta: sesiunea mai nouă câștigă.

Al doilea este contul. Multe servere VPN permit o singură sesiune pe identitate și deconectează sesiunea mai veche când aceleași credențiale se autentifică din nou, ceea ce este o decizie de politică la gateway și nu are nimic de-a face cu routerul dumneavoastră. Căutați acel mesaj explicit în jurnalul serverului înainte de a cumpăra hardware.

Al treilea este o configurare greșită simplă: două profiluri indică aceeași identitate, unul dintre ele cu o cheie prepartajată învechită sau cu un certificat pe care gateway-ul nu îl mai acceptă. Acela se manifestă de obicei ca o a doua conexiune eșuată în loc de căderea primeia, așa că forma eșecului vă spune deja ceva.

Ce trimite de fapt L2TP/IPsec prin router

IKE rulează pe UDP 500. Calea de date este ESP, care este protocolul IP 50 și nu transportă deloc porturi TCP sau UDP. Un router care înțelege doar porturi nu are deci pe ce să se sprijine, și exact de aceea există mecanismul de pass-through.

Cu traversarea NAT, ESP este încapsulat în UDP 4500. Acum routerul are un port sursă de mapat, iar fiecare laptop primește propria traducere, astfel încât gateway-ul poate distinge două fluxuri. Acesta este mecanismul care face posibil ca mai mulți clienți în spatele unei adrese să funcționeze.

Distincția contează când citiți lista de funcții a unui router. O etichetă care spune pass-through IPsec vă spune că producătorul are un mecanism oarecare; nu vă spune dacă acel mecanism acceptă mai mulți clienți sau cum se comportă când sosește al doilea.

Documentația strongSwan despre traversarea NAT descrie încapsularea în sine, iar aceasta este partea pe care o puteți verifica din capturi de pachete în loc de o pagină de marketing.

Cum aflați ce cauză aveți de fapt

Faceți patru observații și notați fiecare rezultat. Fiecare laptop singur: funcționează, și cât timp? Ambele simultan: care supraviețuiește? Al doilea laptop pe un hotspot de telefon: primul rămâne sus? Și la gateway: jurnalul serverului arată o sesiune nouă care o înlocuiește pe una veche, sau arată un client care pur și simplu tace?

Acele răspunsuri separă candidații curat. Un mesaj de înlocuire în jurnalul serverului indică politica de identitate. Un client care nu mai primește trafic în timp ce routerul arată o traducere nouă indică routerul. Doi clienți care ambii nu finalizează IKE indică configurația sau credențialele.

Păstrați aceleași profiluri pe tot parcursul. Schimbarea profilului între teste înseamnă că măsurați două variabile simultan, iar concluzia va fi greșită într-un mod foarte greu de observat.

Capturați pe router dacă îl acceptă, sau pe un laptop în timp ce celălalt se conectează. Să vedeți pachetele celui de-al doilea client apărând în timp ce ale primului se opresc este o dovadă mai solidă decât orice pictogramă de conectare.

Dacă routerul este limitarea

Folosiți configurația multi-client documentată de producător dacă există, sau înlocuiți dispozitivul cu unul a cărui documentație spune ce aveți nevoie. Este un răspuns neiscusit și singurul care supraviețuiește unei actualizări de firmware.

Ce nu funcționează este să adăugați două redirecționări de intrare identice către două laptopuri diferite. O redirecționare îi spune routerului unde să trimită traficul care sosește; nu îi spune căruia dintre două fluxuri active îi aparține un pachet, iar ambiguitatea este eroarea.

Dacă routerul nu poate fi înlocuit, puneți un client în spatele unei alte căi. Un hotspot de telefon este o soluție permanentă slabă și o soluție de diagnostic perfect bună.

Dacă gateway-ul este limitarea

Furnizați identități separate pentru persoane separate. Un singur cont partajat folosit de două laptopuri este aranjamentul care produce acest simptom pe serverele configurate pentru o singură sesiune, iar nicio configurație locală nu repară o decizie luată la celălalt capăt.

Întrebați proprietarul gateway-ului ce politică se aplică: o sesiune pe cont, una pe certificat sau nicio limită. Răspunsul lor decide dacă aveți nevoie de credențiale noi sau de un router nou.

Verificarea este partea pe care oamenii o sar. Rulați trafic util de la ambii clienți mai mult decât intervalul care eșua înainte, pentru că două autentificări reușite dovedesc doar că autentificarea a funcționat o dată la fiecare.