Други VPN клијент је покварио први: пронађите заједнички ресурс

Јуче је оригинални клијент радио. Данас новодошли тражи везу, док старији профил стаје на кораку који је раније пролазио без жалбе. Подаци за пријаву су ретко укључени, а пролаз је обично невин. Променило се то што два VPN стека сада желе исти ексклузивни ресурс, а поправка зависи од тога да ли ћете га именовати. Прођите кроз слојеве уместо да поново инсталирате оба.

Прођите кроз четири слоја по реду

VPN производу су потребна четири ресурса који могу да се сударе: позадинска услуга која често одбија да ради двапут, фиксни порт, виртуелни адаптер или језгрени филтер који види саобраћај пре табеле рутирања, и право да инсталира руте испред подразумеване. Знање који је попустио претвара нејасан конфликт у једно питање са проверљивим одговором.

Повежите симптом са слојем пре него што било шта додирнете. Клијент који се не покреће указује на услугу; онај који се покрене и никада не преговара указује на порт; онај који се повеже док други губи сву повезаност указује на филтер или на подразумевану руту. Запишите то повезивање, јер штеди сат поновног инсталирања апликација у нади.

Почните од услуге која не ради двапут

На Windows-у је корпоративни клијент обично више од тунела, јер поред профила инсталира услугу, драјвер филтера и понекад добављача података за пријаву. Забележите које услуге раде пре промене и поново после ње, па упоредите две листе уместо да поново покрећете систем док нешто не проради. Услуге могу и међусобно да се искључују кроз зависности, где покретање једне зауставља другу, а исти образац се појављује на macOS-у са launchd пословима и заједничким демоном. Клијент који се покрене и изађе у року од неколико секунди извештава о власништву, а не о конфигурацији.

Прочитајте стање услуге и њен дневник пре него што прочитате профил. Услуга која се покренула и зауставила у истом минуту је образац који треба тражити, а њен сопствени дневник догађаја именује зависност која ју је потиснула. Профил не може да поправи процес који не ради, а време потрошено на његово уређивање је време које није потрошено на прави конфликт.

Затим питајте коме припада порт

Власништво над портом је најјаснији доказ који ћете добити, јер неуспех повезивања директно именује конфликт. Две IKE имплементације не могу обе да одговарају на истој локалној адреси и UDP порту, и никакво понављање то не мења.

Get-NetUDPEndpoint -LocalPort 500,4500 | Select-Object LocalAddress,LocalPort,OwningProcess
netstat -ano | findstr :500
sudo lsof -nP -iUDP:500
ss -lunp | grep -E ':500|:4500'

Која год линија одговара вашој платформи, одговор који желите је процес и услуга која га је створила. Ако је слушалац уграђена IKE услуга, други клијент је уљез; ако је агент добављача, уграђени клијент је уљез. Одлучите који сме да се покреће при пријави и онемогућите аутоматско покретање другог уместо да га убијате сваку сесију.

Драјвер филтера стоји испод ваших рута

Мрежни драјвер филтера пресреће саобраћај између адаптера и протоколског стека, па може да преписује или блокира пакете без обзира на то шта каже табела рутирања. Тако се рута која изгледа исправно игнорише, и зато успешан ping може да стоји поред прегледача који не може да учита ништа.

Компоненте добављача се такође везују за одређене везе. Стари филтер везан за један адаптер може да спречи иначе исправан профил да заврши своје руковање, а одвезивање те компоненте од својстава адаптера је уже и повратније од потпуног уклањања производа. Пошто је везивање по вези, упоређујте адаптере, а не цео стек.

Одлучите који производ поседује подизање, па то забележите

Суживот је реалан само када два клијента по дизајну заузимају различите слојеве, попут IPsec стека поред проксија који обрађује само саобраћај апликација. Тамо где обоје желе исти порт, исти слој филтера или право да објаве подразумевану руту, наставиће да се смењују и сваки квар ће изгледати као нова грешка.

Изаберите власника намерно. Облици који преживљавају поновно покретање укључују покретање другог клијента унутар виртуелне машине, његово држање на наменском хардверу или стандардизацију на једном клијенту који говори оба протокола. Онемогућавање аутоматског покретања и услуге губитника мања је промена од поновне изградње табеле рутирања после сваког покретања, и поништава се једним уређивањем подешавања.