Ali drugi odjemalec L2TP ubije prvega? Preberite kapsuliranje

En prenosnik drži delujoč tunel skozi pisarniški usmerjevalnik. Drugi prenosnik v isti sobi se poveže in prvi pade. Če je to celoten simptom, so na mizi še vedno trije različni vzroki, in kateri popravek velja, je odvisno od stvari, ki jih še niste izmerili. Skupni usmerjevalnik je pomemben, a ni samodejno kriv, in protokol tudi ne.

Trije vzroki, ki so s kavča videti enako

Prvi kandidat je ravnanje usmerjevalnika z IPsec. Poceni potrošniški usmerjevalniki pogosto oglašujejo prepuščanje in ga izvajajo za enega odjemalca naenkrat, ker mehanizem sledi enemu partnerju in ne more ločiti dveh prenosnikov za isto javno naslov. Simptom je natanko tak, kot bi pričakovali: novejša seja zmaga.

Drugi je račun. Mnogi strežniki VPN dovoljujejo eno sejo na identiteto in prekinejo starejšo, ko se iste poverilnice znova overijo, kar je odločitev o pravilniku na prehodu in nima nič opraviti z vašim usmerjevalnikom. Pred nakupom strojne opreme poiščite to izrecno sporočilo v dnevniku strežnika.

Tretji je preprosta napačna konfiguracija: dva profila kažeta na isto identiteto, eden od njiju z zastarelim vnaprej deljenim ključem ali potrdilom, ki ga prehod ne sprejema več. Ta se običajno pokaže kot neuspešna druga povezava, ne kot padec prve, zato vam oblika napake že nekaj pove.

Kaj L2TP/IPsec v resnici pošilja skozi usmerjevalnik

IKE teče prek UDP 500. Podatkovna pot je ESP, to je protokol IP 50 in sploh ne nosi vrat TCP ali UDP. Usmerjevalnik, ki razume samo vrata, se torej nima za kaj oprijeti, in prav zato mehanizem prepuščanja obstaja.

S prehodom NAT se ESP kapsulira v UDP 4500. Zdaj ima usmerjevalnik izvorna vrata za preslikavo in vsak prenosnik dobi svoj prevod, tako da lahko prehod loči dva toka. To je mehanizem, ki sploh omogoča delovanje več odjemalcev za enim naslovom.

Razlika je pomembna, ko berete seznam funkcij usmerjevalnika. Oznaka, ki pravi prepuščanje IPsec, vam pove, da ima proizvajalec nek mehanizem; ne pove, ali ta mehanizem podpira več odjemalcev ali kako se obnaša, ko pride drugi.

Dokumentacija strongSwan o prehodu NAT opisuje samo kapsuliranje, in to je del, ki ga lahko preverite iz zajemov paketov, ne pa s trženjske strani.

Kako ugotoviti, kateri vzrok v resnici imate

Izvedite štiri opazovanja in zapišite vsak rezultat. Vsak prenosnik sam: deluje in kako dolgo? Oba hkrati: kateri preživi? Drugi prenosnik na telefonski dostopni točki: ali prvi ostane? In na prehodu: ali dnevnik strežnika kaže novo sejo, ki nadomesti staro, ali kaže enega odjemalca, ki preprosto utihne?

Ti odgovori kandidate čisto ločijo. Sporočilo o nadomestitvi v dnevniku strežnika kaže na pravilnik identitete. Odjemalec, ki preneha prejemati promet, medtem ko usmerjevalnik kaže nov prevod, kaže na usmerjevalnik. Dva odjemalca, ki oba ne dokončata IKE, kažeta na konfiguracijo ali poverilnice.

Ves čas ohranite iste profile. Menjava profila med preskusi pomeni, da merite dve spremenljivki hkrati, in sklep bo napačen na način, ki ga je zelo težko opaziti.

Zajemite na usmerjevalniku, če to podpira, ali na enem prenosniku, medtem ko se drugi povezuje. Videti pakete drugega odjemalca, kako se pojavijo, medtem ko se paketi prvega ustavijo, je močnejši dokaz od katere koli ikone povezave.

Če je omejitev usmerjevalnik

Uporabite proizvajalčevo dokumentirano konfiguracijo za več odjemalcev, če obstaja, ali napravo zamenjajte s tako, katere dokumentacija pove, kaj potrebujete. To je neprivlačen odgovor in edini, ki preživi posodobitev vdelane programske opreme.

Kar ne deluje, je dodajanje dveh enakih dohodnih posredovanj na dva različna prenosnika. Posredovanje pove usmerjevalniku, kam poslati dohodni promet; ne pove mu, kateremu od dveh dejavnih tokov pripada paket, in ta dvoumnost je napaka.

Če usmerjevalnika ni mogoče zamenjati, postavite enega odjemalca za drugo pot. Telefonska dostopna točka je slaba trajna rešitev in povsem dobra diagnostična.

Če je omejitev prehod

Zagotovite ločene identitete za ločene ljudi. En skupni račun, ki ga uporabljata dva prenosnika, je razporeditev, ki ustvarja ta simptom na strežnikih, nastavljenih za eno sejo, in nobena lokalna konfiguracija ne popravi odločitve, sprejete na drugem koncu.

Vprašajte lastnika prehoda, kateri pravilnik velja: ena seja na račun, ena na potrdilo ali brez omejitve. Njihov odgovor odloči, ali potrebujete nove poverilnice ali nov usmerjevalnik.

Preverjanje je del, ki ga ljudje izpustijo. Spustite koristen promet z obeh odjemalcev dlje od intervala, ki je prej odpovedoval, ker dve uspešni prijavi dokazujeta le, da je overjanje vsakič enkrat delovalo.