A e vret klienti i dytë L2TP të parin? Lexoni inkapsulimin

Një laptop mban një tunel funksional përmes ruterit të zyrës. Një laptop i dytë në të njëjtën dhomë lidhet dhe i pari bie. Nëse ky është i gjithë simptomi, tre shkaqe të ndryshme janë ende mbi tavolinë, dhe cila rregullim zbatohet varet nga gjëra që nuk i keni matur ende. Ruteri i përbashkët është i rëndësishëm, por nuk është automatikisht fajtor, dhe as protokolli.

Tre shkaqe që duken identike nga divani

Kandidati i parë është mënyra se si ruteri trajton IPsec. Ruterët e lirë të konsumatorit shpesh reklamojnë kalimin dhe e zbatojnë për një klient në një herë, sepse mekanizmi ndjek një palë të vetme dhe nuk mund të ndajë dy laptopë pas të njëjtit adresë publike. Simptomi është saktësisht ai që do të prisnit: sesioni më i ri fiton.

I dyti është llogaria. Shumë serverë VPN lejojnë një sesion për identitet dhe shkëpusin atë më të vjetër kur të njëjtat kredenciale autentifikohen përsëri, gjë që është një vendim politike në portë dhe nuk ka asnjë lidhje me ruterin tuaj. Kërkoni atë mesazh të qartë në regjistrin e serverit përpara se të blini harduer.

I treti është një konfigurim i thjeshtë i gabuar: dy profile tregojnë të njëjtin identitet, njëri prej tyre me një çelës të vjetër të ndarë paraprakisht ose një certifikatë që porta nuk e pranon më. Ai zakonisht shfaqet si një lidhje e dytë e dështuar në vend të rënies së të parit, kështu që forma e dështimit tashmë po ju thotë diçka.

Çfarë dërgon në të vërtetë L2TP/IPsec përmes ruterit

IKE funksionon mbi UDP 500. Rruga e të dhënave është ESP, që është protokolli IP 50 dhe nuk mbart fare porte TCP ose UDP. Prandaj një ruter që kupton vetëm porte nuk ka ku të kapet, dhe pikërisht për këtë ekziston mekanizmi i kalimit.

Me kalimin NAT, ESP inkapsulohet brenda UDP 4500. Tani ruteri ka një port burimi për të hartëzuar, dhe çdo laptop merr përkthimin e vet, kështu që porta mund të dallojë dy rrjedha. Ky është mekanizmi që bën të mundur që disa klientë pas një adrese të funksionojnë fare.

Dallimi ka rëndësi kur lexoni listën e veçorive të një ruteri. Një etiketë që thotë kalim IPsec ju tregon se prodhuesi ka një mekanizëm të caktuar; nuk ju tregon nëse ai mekanizëm mbështet disa klientë ose si sillet kur arrin i dyti.

Dokumentacioni i strongSwan për kalimin NAT përshkruan vetë inkapsulimin, dhe kjo është pjesa që mund të verifikoni nga kapjet e paketave në vend të një faqe marketingu.

Si të zbuloni se cili shkak keni në të vërtetë

Bëni katër vëzhgime dhe shkruani çdo rezultat. Çdo laptop vetëm: funksionon, dhe për sa kohë? Të dy njëkohësisht: cili mbijeton? Laptopi i dytë në një hotspot telefoni: a qëndron i pari? Dhe në portë: regjistri i serverit tregon një sesion të ri që zëvendëson një të vjetër, apo tregon një klient që thjesht hesht?

Ato përgjigje i ndajnë pastër kandidatët. Një mesazh zëvendësimi në regjistrin e serverit tregon politikën e identitetit. Një klient që ndalon marrjen e trafikut ndërsa ruteri tregon një përkthim të ri tregon ruterin. Dy klientë që të dy nuk përfundojnë IKE tregojnë konfigurimin ose kredencialet.

Mbani të njëjtat profile gjatë gjithë kohës. Ndryshimi i profilit midis testeve do të thotë që matni dy variabla njëkohësisht, dhe përfundimi do të jetë i gabuar në një mënyrë shumë të vështirë për t'u vënë re.

Kapni në ruter nëse e mbështet, ose në një laptop ndërsa tjetri lidhet. Të shihni paketat e klientit të dytë duke u shfaqur ndërsa ato të të parit ndalen është provë më e fortë se çdo ikonë lidhjeje.

Nëse ruteri është kufizimi

Përdorni konfigurimin e dokumentuar me shumë klientë të prodhuesit nëse ekziston, ose zëvendësoni pajisjen me një dokumentacioni i së cilës thotë atë që ju nevojitet. Kjo është një përgjigje jo glamuroze dhe e vetmja që i mbijeton një përditësimi firmueri.

Ajo që nuk funksionon është të shtoni dy përcjellje hyrëse identike drejt dy laptopëve të ndryshëm. Një përcjellje i thotë ruterit ku të dërgojë trafikun që mbërrin; nuk i thotë se cilës prej dy rrjedhave aktive i takon një paketë, dhe paqartësia është gabimi.

Nëse ruteri nuk mund të zëvendësohet, vendosni një klient pas një rruge tjetër. Një hotspot telefoni është një zgjidhje e dobët e përhershme dhe një zgjidhje diagnostikuese shumë e mirë.

Nëse porta është kufizimi

Siguroni identitete të ndara për njerëz të ndarë. Një llogari e përbashkët e përdorur nga dy laptopë është rregullimi që krijon këtë simptom në serverë të konfiguruar për një sesion të vetëm, dhe asnjë konfigurim lokal nuk rregullon një vendim të marrë në skajin tjetër.

Pyetni pronarin e portës se cila politikë zbatohet: një sesion për llogari, një për certifikatë, ose pa kufi fare. Përgjigjja e tyre vendos nëse ju nevojiten kredenciale të reja apo një ruter i ri.

Verifikimi është pjesa që njerëzit e kapërcejnë. Kaloni trafik të dobishëm nga të dy klientët më gjatë se intervali që dështonte më parë, sepse dy hyrje të suksesshme vërtetojnë vetëm se autentikimi funksionoi nga një herë secili.