Zabije druhý klient L2TP prvého? Prečítajte si zapúzdrenie

Jeden notebook drží funkčný tunel cez kancelársky router. Druhý notebook v tej istej miestnosti sa pripojí a prvý vypadne. Ak je to celý symptóm, na stole stále ležia tri rôzne príčiny a to, ktorá oprava platí, závisí od vecí, ktoré ste ešte nezmerali. Zdieľaný router je podstatný, ale nie je automaticky vinný, a protokol tiež nie.

Tri príčiny, ktoré z gauča vyzerajú rovnako

Prvým kandidátom je zaobchádzanie routera s IPsec. Lacné spotrebiteľské routery často inzerujú priechod a vykonávajú ho pre jedného klienta naraz, pretože mechanizmus sleduje jedného partnera a nedokáže oddeliť dva notebooky za rovnakou verejnou adresou. Symptóm je presne to, čo by ste čakali: novšia relácia vyhráva.

Druhým je účet. Mnohé servery VPN povoľujú jednu reláciu na identitu a odpájajú staršiu, keď sa tie isté prihlasovacie údaje znova overia, čo je rozhodnutie o pravidlách na bráne a s vaším routerom nemá nič spoločné. Pred kúpou hardvéru hľadajte tú výslovnú správu v logu servera.

Tretím je jednoduchá chybná konfigurácia: dva profily ukazujú na rovnakú identitu, jeden z nich so zastaraným vopred zdieľaným kľúčom alebo certifikátom, ktorý brána už neprijíma. Ten sa zvyčajne prejaví ako neúspešné druhé pripojenie, nie ako vypadnutie prvého, takže tvar zlyhania vám už niečo hovorí.

Čo L2TP/IPsec skutočne posiela cez router

IKE beží cez UDP 500. Dátová cesta je ESP, čo je IP protokol 50 a nenesie vôbec žiadne porty TCP ani UDP. Router, ktorý rozumie len portom, teda nemá na čo nadviazať, a práve preto mechanizmus priechodu existuje.

S priechodom NAT sa ESP zapuzdruje do UDP 4500. Teraz má router zdrojový port na mapovanie a každý notebook dostane vlastný preklad, takže brána dokáže rozlíšiť dva toky. To je mechanizmus, ktorý vôbec umožňuje prácu viacerých klientov za jednou adresou.

Rozdiel je dôležitý, keď čítate zoznam funkcií routera. Štítok s nápisom priechod IPsec vám hovorí, že výrobca má nejaký mechanizmus; nehovorí, či tento mechanizmus podporuje viacero klientov alebo ako sa správa, keď dorazí druhý.

Dokumentácia strongSwan k priechodu NAT opisuje samotné zapuzdrenie, a to je časť, ktorú môžete overiť zo zachytených paketov, nie z marketingovej stránky.

Ako zistiť, ktorú príčinu skutočne máte

Vykonajte štyri pozorovania a zapíšte každý výsledok. Každý notebook sám: funguje a ako dlho? Oba naraz: ktorý prežije? Druhý notebook na telefónnom hotspot: zostane prvý hore? A na bráne: ukazuje log servera novú reláciu, ktorá nahrádza starú, alebo ukazuje jedného klienta, ktorý jednoducho stíchne?

Tie odpovede kandidátov čisto oddeľujú. Správa o nahradení v logu servera ukazuje na pravidlá identity. Klient, ktorý prestane prijímať prevádzku, kým router ukazuje nový preklad, ukazuje na router. Dvaja klienti, ktorí obaja nedokončia IKE, ukazujú na konfiguráciu alebo prihlasovacie údaje.

Po celý čas držte rovnaké profily. Zmena profilu medzi testami znamená, že meriate dve premenné naraz, a záver bude chybný spôsobom, ktorý je veľmi ťažké postrehnúť.

Zachyťte na routeri, ak to podporuje, alebo na jednom notebooku, kým sa druhý pripája. Vidieť pakety druhého klienta objavovať sa, kým pakety prvého ustávajú, je silnejší dôkaz než akákoľvek ikona pripojenia.

Ak je obmedzením router

Použite výrobcom zdokumentovanú konfiguráciu pre viac klientov, ak existuje, alebo nahraďte zariadenie takým, ktorého dokumentácia hovorí, čo potrebujete. To je nevábna odpoveď a jediná, ktorá prežije aktualizáciu firmvéru.

Čo nefunguje, je pridať dve rovnaké prichádzajúce presmerovania na dva rôzne notebooky. Presmerovanie hovorí routeru, kam posielať prichádzajúcu prevádzku; nehovorí mu, ku ktorému z dvoch aktívnych tokov paket patrí, a tou nejednoznačnosťou je chyba.

Ak router nemožno vymeniť, umiestnite jedného klienta za inú cestu. Telefónny hotspot je zlé trvalé riešenie a celkom dobré diagnostické.

Ak je obmedzením brána

Zaistite oddelené identity pre oddelených ľudí. Jeden zdieľaný účet používaný dvoma notebookmi je usporiadanie, ktoré tento symptóm vytvára na serveroch nastavených na jednu reláciu, a žiadna lokálna konfigurácia nespraví rozhodnutie prijaté na druhom konci.

Opýtajte sa vlastníka brány, ktoré pravidlo platí: jedna relácia na účet, jedna na certifikát alebo žiadny limit. Ich odpoveď rozhodne, či potrebujete nové prihlasovacie údaje alebo nový router.

Overenie je časť, ktorú ľudia preskakujú. Pustite užitočnú prevádzku z oboch klientov dlhšie než interval, ktorý predtým zlyhával, pretože dve úspešné prihlásenia dokazujú len to, že overenie raz u každého fungovalo.