L2TP/IPsec se povezuje na jednoj mreži, a na drugoj ističe vreme

Isti laptop, isti profil i ista lozinka rade u jednoj zgradi, a ne rade u drugoj. To poređenje je najkorisniji dokaz u prijavi i obično je prva stvar koja se odbaci. Između dve pristupne mreže razmena prolazi kroz drugačije prevođenje adresa, druge filtere i druge pomoćnike rutera. Zadržati klijenta nepromenjenim i menjati samo mrežu je način da otkrijete šta je od toga važno.

Fiksirajte klijenta pre nego što uporedite mreže

Ne menjajte ništa na uređaju dok ne budete imali zapis o radnom slučaju: verziju klijenta, sadržaj profila, ime servera i vreme uspešnog povezivanja. Zatim ponovite kvar na drugoj mreži u istoj sesiji, da stanje klijenta bude što identičnije. Profil izmenjen između dva pokušaja poništava celo poređenje. Cilj je jedna promenljiva i ta promenljiva je mreža.

Prvo potvrdite običan pristup internetu na kvarnoj mreži, uključujući gostujući portal ako postoji. Portal koji nikada nije ispunjen daje istek vremena koji izgleda tačno kao filtrirani tunel, i ta provera traje minut.

Četiri faze, četiri različite poruke o grešci

Veza L2TP/IPsec prolazi kroz četiri faze, i RFC 3193 opisuje raspored koji povezuje prve dve. Pregovaranje IKE je mesto gde filtrirana putanja daje tihi istek vremena. Autentifikacija IPsec je mesto gde neslaganje sertifikata ili unapred deljenog ključa daje umesto toga eksplicitno odbijanje. Postavljanje tunela L2TP je mesto gde već uspostavljeno udruženje sigurnosti ipak može da ne vodi nikuda, a prijavljivanje PPP je mesto gde pogrešni akreditivi konačno daju vidljiv kvar. Čitajte dnevnik za fazu koja se zaustavila, ne za poslednju odštampanu liniju.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Dnevnik strongSwan-a pokazuje da li je razmena IKE stigla do predloga i da li je partner uopšte odgovorio, što odvaja dostupnost od politike. Dnevnik xl2tpd-a nastavlja tamo gde se IPsec završava, tako da uspostavljeno udruženje sigurnosti bez ičega u tom dnevniku ukazuje na fazu L2TP. Upit za rutu potvrđuje da klijent šalje ka adresi servera koju mislite, i to hvata zastareo odgovor DNS-a nasleđen iz prethodne mreže. Zajedno, tri izlaza imenuju fazu umesto simptoma.

Uporedite dubinu NAT-a i ponašanje pomoćnika

Prolaz kroz NAT premešta zaštićeni saobraćaj u inkapsulaciju UDP kada se otkrije prevođenje, tako da brojevi portova koji nose radnu sesiju mogu da se razlikuju od onih na statičnoj šemi. Dozvoljavanje jednog paketa za podešavanje ne dokazuje ništa o ostatku razmene, a spoljno skeniranje portova ne može da vam kaže kako partner tretira važeći autentifikovani saobraćaj. Drugi sloj prevođenja ponovo menja sliku, jer mapiranje sada postoji dvaput i ističe po dva različita rasporeda. Prevođenje na nivou operatora na mobilnoj vezi je uobičajen razlog zašto radni kancelarijski profil ne uspeva na hotspot-u telefona.

Pomoćnici rutera se razlikuju koliko i mreže. Neki firmveri presreću i prepisuju razmenu, drugi samo prestaju da je odbacuju, a treći primenjuju podešavanje samo u starom režimu. Pročitajte opis polja za štrikliranje od samog firmvera i gde postoji režim kompatibilnosti, testirajte ga kao jednu svesnu promenu, a ne tri odjednom.

Izlazni klijent, ulazni server: dva različita problema

Izlaznom klijentu i ulaznom serveru potrebna je različita dostupnost uzvodno, a funkcija propuštanja koja pomaže prvom ne čini ništa za drugi. Kućni ruter koji omogućava laptopu da stigne do udaljenog prolaza ne prihvata zbog toga ulazne veze ka serveru iza njega. Mešanje njih dvoje vas šalje da tražite prosleđivanje portova koje nikada nije bilo problem. Pre nego što bilo šta uporedite, navedite koju ulogu igra kvarni uređaj.

Nakon podržane promene ponovite istu vezu i zapišite dostignutu fazu. Držite zajedno radni profil i belešku o kvarnoj mreži, ne resetujte akreditive i ne reinstalirajte klijenta, jer to odbacuje dokaze na kojima je poređenje izgrađeno.