L2TP/IPsec se poveže v enem omrežju, v drugem pa mu poteče čas

Isti prenosnik, isti profil in isto geslo delujejo v eni zgradbi in odpovejo v drugi. Ta primerjava je najkoristnejši dokaz v zahtevku in običajno je prva stvar, ki se zavrže. Med dvema dostopnima omrežjema gre izmenjava skozi drugačno pretvorbo naslovov, drugačne filtre in drugačne pomočnike usmerjevalnika. Ohraniti odjemalca nespremenjenega in spremeniti samo omrežje je način, da ugotovite, kateri od teh elementov je pomemben.

Odjemalca določite, preden primerjate omrežja

Na napravi ne spreminjajte ničesar, dokler nimate zapisa o delujočem primeru: različice odjemalca, vsebine profila, imena strežnika in časa uspešne povezave. Nato ponovite okvaro v drugem omrežju med isto sejo, da bo stanje odjemalca čim bolj enako. Profil, urejen med obema poskusoma, razveljavi celotno primerjavo. Cilj je ena spremenljivka, in ta spremenljivka je omrežje.

Najprej potrdite običajen dostop do interneta v omrežju, kjer pride do okvare, vključno z gostujočim portalom, če obstaja. Portal, ki nikoli ni bil izpolnjen, povzroči potek časa, ki je videti natanko kot filtriran tunel, in ta preveritev traja minuto.

Štiri faze, štiri različna sporočila o napaki

Povezava L2TP/IPsec preide skozi štiri faze in RFC 3193 opisuje ureditev, ki poveže prvi dve. Pogajanje IKE je mesto, kjer filtrirana pot povzroči tiho potek časa. Preverjanje pristnosti IPsec je mesto, kjer neujemanje potrdila ali vnaprej deljenega ključa namesto tega povzroči izrecno zavrnitev. Nastavitev tunela L2TP je mesto, kjer vzpostavljena varnostna povezava vseeno ne more nikamor voditi, prijava PPP pa je mesto, kjer napačna poverilnica končno povzroči vidno napako. Preberite dnevnik za fazo, ki se je ustavila, ne za zadnjo natisnjeno vrstico.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Dnevnik strongSwan pokaže, ali je izmenjava IKE dosegla predlog in ali je partner sploh odgovoril, kar loči dosegljivost od politike. Dnevnik xl2tpd prevzame tam, kjer se IPsec konča, zato vzpostavljena varnostna povezava brez česar koli v tem dnevniku kaže na fazo L2TP. Poizvedba poti potrdi, da odjemalec pošilja na naslov strežnika, ki ga predvidevate, kar ujame zastarel odgovor DNS, podedovan iz prejšnjega omrežja. Skupaj trije izhodi poimenujejo fazo namesto simptoma.

Primerjajte globino NAT in vedenje pomočnika

Prehod NAT premakne zaščiten promet v kapsuliranje UDP ob zaznani pretvorbi, zato se lahko številke vrat, ki nosijo delujočo sejo, razlikujejo od tistih v statičnem diagramu. Dovoliti en sam konfiguracijski paket ne dokazuje ničesar o preostanku izmenjave, zunanje skeniranje vrat pa vam ne more povedati, kako partner obravnava veljaven overjen promet. Druga plast pretvorbe spet spremeni sliko, ker preslikava zdaj obstaja dvakrat in poteče po dveh različnih urnikih. Pretvorba na ravni operaterja pri mobilni povezavi je običajen razlog, da delujoč pisarniški profil odpove na dostopni točki telefona.

Pomočniki usmerjevalnika se razlikujejo prav tako kot omrežja. Nekatera strojna programska oprema prestreže in prepiše izmenjavo, druga le preneha zavračati promet, tretja pa nastavitev uporabi samo v starejšem načinu. Preberite opis potrditvenega polja, ki ga navaja sama strojna programska oprema, in kjer obstaja način združljivosti, ga preizkusite kot eno namerno spremembo, ne tri hkrati.

Odhodni odjemalec, vhodni strežnik: dva različna problema

Odhodni odjemalec in vhodni strežnik potrebujeta drugačno dosegljivost navzgor, funkcija prehajanja, ki pomaga prvemu, pa ne naredi ničesar za drugega. Domači usmerjevalnik, ki prenosniku omogoči doseg oddaljenih vrat, s tem ne sprejema vhodnih povezav do strežnika za njimi. Če ta dva zamenjate, vas pošlje iskat posredovanje vrat, ki nikoli ni bilo težava. Preden karkoli primerjate, navedite, kakšno vlogo ima naprava, ki odpove.

Po podprti spremembi ponovite isto povezavo in zabeležite fazo, ki jo je dosegla. Hranite delujoč profil in zapisek o omrežju z okvaro skupaj, in ne ponastavite poverilnic niti ne znova namestite odjemalca, ker s tem zavržete dokaz, na katerem je bila primerjava zgrajena.