L2TP/IPsec се повезује на једној мрежи, а на другој истекне време

Исти лаптоп, исти профил и иста лозинка раде у једној згради, а не раде у другој. То поређење је најкориснији доказ у пријави и обично је прва ствар која се одбаци. Између две приступне мреже размена пролази кроз другачије превођење адреса, друге филтере и друге помоћнике рутера. Задржати клијента непромењеним и мењати само мрежу је начин да откријете шта је од тога важно.

Фиксирајте клијента пре него што упоредите мреже

Не мењајте ништа на уређају док не будете имали запис о радном случају: верзију клијента, садржај профила, име сервера и време успешног повезивања. Затим поновите квар на другој мрежи у истој сесији, да стање клијента буде што идентичније. Профил измењен између два покушаја поништава цело поређење. Циљ је једна променљива и та променљива је мрежа.

Прво потврдите обичан приступ интернету на кварној мрежи, укључујући гостујући портал ако постоји. Портал који никада није испуњен даје истек времена који изгледа тачно као филтрирани тунел, и та провера траје минут.

Четири фазе, четири различите поруке о грешци

Веза L2TP/IPsec пролази кроз четири фазе, и RFC 3193 описује распоред који повезује прве две. Преговарање IKE је место где филтрирана путања даје тихи истек времена. Аутентификација IPsec је место где неслагање сертификата или унапред дељеног кључа даје уместо тога експлицитно одбијање. Подешавање тунела L2TP је место где већ успостављено удружење безбедности ипак може да не води никуда, а пријављивање PPP је место где погрешни акредитиви коначно дају видљив квар. Читајте дневник за фазу која се зауставила, не за последњу одштампану линију.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Дневник strongSwan-а показује да ли је размена IKE стигла до предлога и да ли је партнер уопште одговорио, што одваја доступност од политике. Дневник xl2tpd-а наставља тамо где се IPsec завршава, тако да успостављено удружење безбедности без ичега у том дневнику указује на фазу L2TP. Упит за руту потврђује да клијент шаље ка адреси сервера коју мислите, и то хвата застарео одговор DNS-а наслеђен из претходне мреже. Заједно, три излаза именују фазу уместо симптома.

Упоредите дубину NAT-а и понашање помоћника

Пролаз кроз NAT премешта заштићени саобраћај у инкапсулацију UDP када се открије превођење, тако да бројеви портова који носе радну сесију могу да се разликују од оних на статичној шеми. Дозвољавање једног пакета за подешавање не доказује ништа о остатку размене, а спољно скенирање портова не може да вам каже како партнер третира важећи аутентификовани саобраћај. Други слој превођења поново мења слику, јер мапирање сада постоји двапут и истиче по два различита распореда. Превођење на нивоу оператера на мобилној вези је уобичајен разлог зашто радни канцеларијски профил не успева на hotspot-у телефона.

Помоћници рутера се разликују колико и мреже. Неки фирмвери пресрећу и преписују размену, други само престају да је одбацују, а трећи примењују подешавање само у старом режиму. Прочитајте опис поља за штиклирање од самог фирмвера и где постоји режим компатибилности, тестирајте га као једну свесну промену, а не три одједном.

Излазни клијент, улазни сервер: два различита проблема

Излазном клијенту и улазном серверу потребна је различита доступност узводно, а функција пропуштања која помаже првом не чини ништа за други. Кућни рутер који омогућава лаптопу да стигне до удаљеног пролаза не прихвата због тога улазне везе ка серверу иза њега. Мешање њих двоје вас шаље да тражите прослеђивање портова које никада није било проблем. Пре него што било шта упоредите, наведите коју улогу игра кварни уређај.

Након подржане промене поновите исту везу и запишите достигнуту фазу. Држите заједно радни профил и белешку о кварној мрежи, не ресетујте акредитиве и не реинсталирајте клијента, јер то одбацује доказе на којима је поређење изграђено.