L2TP/IPsec lidhet në një rrjet dhe skadon në një tjetër

I njëjti laptop, i njëjti profil dhe e njëjta fjalëkalim funksionojnë në një ndërtesë dhe dështojnë në një tjetër. Ky krahasim është prova më e dobishme në tiketë, dhe zakonisht është gjëja e parë që hidhet poshtë. Midis dy rrjeteve të aksesit, shkëmbimi kalon nëpër një përkthim tjetër adresash, filtra të tjerë dhe ndihmës të tjerë të ruterit. Mbajtja e klientit fiks dhe ndryshimi vetëm i rrjetit është mënyra për të zbuluar se cila prej këtyre ka rëndësi.

Fiksoni klientin përpara se të krahasoni rrjetet

Mos ndryshoni asgjë në pajisje derisa të keni një regjistrim të rastit që funksionon: versioni i klientit, përmbajtja e profilit, emri i serverit dhe koha e lidhjes së suksesshme. Më pas riprodhoni dështimin në rrjetin e dytë gjatë të njëjtës sesion, në mënyrë që gjendja e klientit të jetë sa më identike. Një profil i modifikuar midis dy përpjekjeve zhvleftëson të gjithë krahasimin. Qëllimi është një variabël, dhe ai variabël është rrjeti.

Konfirmoni fillimisht aksesin normal në internet në rrjetin që dështon, përfshirë një portal mysafirësh nëse ka. Një portal që nuk u plotësua kurrë prodhon një skadim që duket saktësisht si një tunel i filtruar, dhe ai kontroll merr një minutë.

Katër faza, katër mesazhe gabimi të ndryshëm

Një lidhje L2TP/IPsec kalon nëpër katër faza, dhe RFC 3193 përshkruan rregullimin që lidh dy të parat. Negocimi IKE është vendi ku një rrugë e filtruar prodhon një skadim të heshtur. Autentifikimi IPsec është vendi ku një mospërputhje certifikate ose çelësi të ndarë paraprakisht prodhon në vend të tij një refuzim të shprehur. Vendosja e tunelit L2TP është vendi ku një shoqatë sigurie tashmë e vendosur mund të mos çojë askund, dhe hyrja PPP është vendi ku një kredencial i gabuar prodhon më në fund një dështim të dukshëm. Lexoni regjistrin për fazën që u ndal, jo për rreshtin e fundit të printuar.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Regjistri i strongSwan tregon nëse shkëmbimi IKE arriti një propozim dhe nëse partneri u përgjigj fare, gjë që ndan arritshmërinë nga politika. Regjistri i xl2tpd merr përsipër atje ku përfundon IPsec, kështu që një shoqatë sigurie e vendosur pa asgjë në atë regjistër tregon fazën L2TP. Kërkesa për rrugën konfirmon që klienti po dërgon drejt adresës së serverit që mendoni, gjë që kap një përgjigje DNS të vjetëruar të trashëguar nga rrjeta e mëparshme. Së bashku, tre daljet emërtojnë një fazë në vend të një simptome.

Krahasoni thellësinë e NAT-it dhe sjelljen e ndihmësit

Kalimi i NAT-it e zhvendos trafikun e mbrojtur në inkapsulimin UDP kur zbulohet përkthimi, kështu që numrat e portit që mbajnë një sesion funksional mund të ndryshojnë nga ata në një diagram statik. Lejimi i një pakete të vetme konfigurimi nuk provon asgjë për pjesën tjetër të shkëmbimit, dhe një skanim i jashtëm portesh nuk mund t'ju tregojë se si partneri e trajton trafikun e vlefshëm të autentifikuar. Një shtresë e dytë përkthimi e ndryshon përsëri pamjen, sepse hartëzimi tani ekziston dy herë dhe skadon sipas dy orareve të ndryshme. Përkthimi në nivel operatori në një lidhje mobile është arsyeja e zakonshme pse një profil zyre që funksionon dështon në një hotspot telefoni.

Ndihmësit e ruterit ndryshojnë po aq sa rrjetet. Disa firmware interceptojnë dhe rishkruajnë shkëmbimin, disa thjesht ndalojnë së hedhuri poshtë atë, dhe disa e zbatojnë cilësimin vetëm në një modalitet të vjetër. Lexoni përshkrimin e vetë firmware për kutinë e zgjedhjes, dhe ku ekziston një modalitet përputhshmërie, provojeni si një ndryshim të vetëm të qëllimshëm në vend të tre përnjëherë.

Klient dalës, server hyrës: dy probleme të ndryshme

Një klient dalës dhe një server hyrës kanë nevojë për arritshmëri të ndryshme në rrjedhën lart, dhe një funksion kalimi që ndihmon të parin nuk bën asgjë për të dytin. Një ruter shtëpiak që lejon laptopin të arrijë një portë të largët nuk pranon me kaq lidhje hyrëse drejt një serveri pas tij. Ngatërrimi i të dyve ju dërgon të kërkoni përcjellje portesh që nuk ishte kurrë problemi. Deklaroni cilin rol luan pajisja që dështon përpara se të krahasoni çdo gjë.

Pas një ndryshimi të mbështetur, përsëritni të njëjtën lidhje dhe shënoni fazën që arriti. Mbani së bashku profilin funksional dhe shënimin për rrjetin që dështon, dhe mos i rivendosni kredencialet as mos e riinstaloni klientin, sepse kjo hedh poshtë provën mbi të cilën u ndërtua krahasimi.