Да ли други L2TP клијент убија први? Прочитајте инкапсулацију

Један лаптоп држи радни тунел кроз канцеларијски рутер. Други лаптоп у истој соби се повезује и први пада. Ако је то цео симптом, на столу су и даље три различита узрока, и које поправке важи зависи од ствари које још нисте измерили. Заједнички рутер је релевантан, али није аутоматски крив, а ни протокол.

Три узрока која са кауча изгледају исто

Први кандидат је однос рутера према IPsec-у. Јефтини потрошачки рутери често рекламирају пролаз и спроводе га за једног клијента истовремено, јер механизам прати једног партнера и не може да раздвоји два лаптопа иза исте јавне адресе. Симптом је тачно онај који бисте очекивали: побеђује новија сесија.

Други је налог. Многи VPN сервери дозвољавају једну сесију по идентитету и прекидају старију када се исти подаци за пријаву поново аутентификују, што је одлука о политици на пролазу и нема никакве везе са вашим рутером. Потражите ту експлицитну поруку у дневнику сервера пре него што купите хардвер.

Трећи је једноставна погрешна конфигурација: два профила показују на исти идентитет, један од њих са застарелим унапред дељеним кључем или сертификатом који пролаз више не прихвата. То се обично показује као неуспешна друга веза, а не као пад прве, па вам облик квара већ нешто говори.

Шта L2TP/IPsec заиста шаље кроз рутер

IKE ради преко UDP 500. Пут података је ESP, то је IP протокол 50 и уопште не носи TCP или UDP портове. Зато рутер који разуме само портове нема за шта да се ухвати, и управо зато постоји механизам пролаза.

Са NAT пролазом ESP се инкапсулира унутар UDP 4500. Сада рутер има изворни порт за мапирање и сваки лаптоп добија свој превод, па пролаз може да разликује два тока. То је механизам који уопште омогућава рад више клијената иза једне адресе.

Разлика је важна када читате листу функција рутера. Ознака која каже пролаз IPsec говори вам да произвођач има некакав механизам; не говори вам да ли тај механизам подржава више клијената или како се понаша када стигне други.

Документација strongSwan о NAT пролазу описује саму инкапсулацију, и то је део који можете да проверите из снимака пакета, а не са маркетинг странице.

Како да сазнате који узрок заиста имате

Направите четири посматрања и запишите сваки резултат. Сваки лаптоп сам: ради ли и колико дуго? Оба истовремено: који преживљава? Други лаптоп на мобилној приступној тачки: да ли први остаје? И на пролазу: да ли дневник сервера показује нову сесију која замењује стару, или показује једног клијента који једноставно замукне?

Ти одговори чисто раздвајају кандидате. Порука о замени у дневнику сервера указује на политику идентитета. Клијент који престане да прима саобраћај док рутер показује нови превод указује на рутер. Два клијента која обоје не завршавају IKE указују на конфигурацију или податке за пријаву.

Држите исте профиле све време. Мењање профила између тестова значи да мерите две променљиве истовремено, и закључак ће бити погрешан на начин који је веома тешко приметити.

Снимите на рутеру ако то подржава, или на једном лаптопу док се други повезује. Гледање како се пакети другог клијента појављују док пакети првог стају јачи је доказ од било које иконе везе.

Ако је рутер ограничење

Користите произвођачеву документовану конфигурацију за више клијената ако постоји, или замените уређај оним чија документација каже шта вам треба. То је неукупан одговор и једини који преживљава ажурирање фирмвера.

Оно што не ради је додавање два идентична долазна прослеђивања ка два различита лаптопа. Прослеђивање каже рутеру где да пошаље долазни саобраћај; не каже му којем од два активна тока пакет припада, и та двосмисленост је грешка.

Ако рутер не може да се замени, ставите једног клијента иза другог пута. Мобилна приступна тачка је лоше трајно решење и сасвим добро дијагностичко.

Ако је пролаз ограничење

Обезбедите одвојене идентитете за одвојене људе. Један заједнички налог који користе два лаптопа је распоред који ствара овај симптом на серверима конфигурисаним за једну сесију, и ниједна локална конфигурација не исправља одлуку донету на другом крају.

Питајте власника пролаза које правило важи: једна сесија по налогу, једна по сертификату или никакво ограничење. Њихов одговор одлучује да ли вам требају нови подаци за пријаву или нови рутер.

Провера је део који људи прескачу. Пустите користан саобраћај са оба клијента дуже од интервала који је раније падао, јер две успешне пријаве доказују само да је аутентификација радила по једном у сваком случају.