Зашто се иза истог рутера повезује само један VPN клијент

Два лаптопа стоје на истој кућној мрежи, а канцеларијски VPN прихвата тачно један од њих. Други или дочека истек времена или чека док се први не одспоји, а нико није дирао поставку клијента између два покушаја. Подаци за пријаву исти су као они који су радили пре минуту, и то је траг да аутентификација није узрок квара. Три механизма стварају овај образац, а запис самог сервера каже са којим се суочавате.

Прочитајте запис пролаза пре него што дирнете клијент

Запис сервера о оба покушаја одговара на прво питање, и одговара на један од три начина. Ако се други покушај никада не појави у том запису, пакет никада није стигао до слушаоца, а проблем држи кућни рутер или пут провајдера. Ако запис забележи покушај и одбије га, тунел је стигао, па је реч о идентитету, лиценци или лимиту сесија, а не о нечему на жици. Ако запис забележи успешну сесију док клијент још јавља квар, погледајте повратни пут или то да два клијента добијају исту адресу тунела.

Хотспот са телефона јефтино раздваја те две породице: покрените други клијент преко мобилних података док први остаје повезан. Успех тамо упућује на кућну мрежу, а исти квар тамо упућује на пролаз, што рутер оставља недужним. Ниједан резултат није сам по себи коначан, али сваки у једном покушају уклања половину простора претраге.

Запишите исход пре него што било шта промените, јер три исхода из записа воде у три неповезане поправке. Белешка која каже који сте од три видели вреди више од снимка екрана са грешком клијента.

Шта рутер ради са GRE и NAT-T

PPTP је класичан кривац: контролни канал је TCP 1723, а пут података GRE, IP протокол 47. Многи потрошачки рутери долазе са PPTP помоћником који прати једну контролну везу, па други клијент иза истог NAT-а отвори свој контролни канал и затим не добије никакав пут података. Пропуштање TCP порта са бројем 47 не чини ништа за GRE, јер GRE је број протокола, а не порт.

L2TP преко IPsec-а по дизајну се понаша другачије: IKE користи UDP 500, NAT пролаз премешта заштићени терет на UDP 4500, а инкапсулација постоји управо зато да неколико клијената иза једне адресе може доћи до истог пролаза. Тај дизајн не спречава пролаз или посредни уређај да наметне лимит сесија по адреси, а са кауча оба квара изгледају исто. SoftEther-ов матични протокол има исту врсту проблема: рутер без радног пропуштања пушта првог клијента из LAN-а и одбацује другог. Тестирајте ALG или прекидач пропуштања на рутеру у оба положаја, јер помоћник писан за старији клијент може покварити пакете које шаље савремени.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Лимити идентитета који изгледају као транспортни

Рутер није једини осумњичени, а запис га разликује од алтернативе. Када OpenVPN сервер веже заједничко име на једну адресу тунела, оба уређаја добијају ту адресу, а без duplicate-cn новија сесија истискује старију. Укључивање те опције пушта оба повезана, али им оставља један идентитет, један сертификат и једну одлуку о опозиву, што је горе него што изгледа. Други уређај тада никада не може бити опозван самостално, па прекидач за удобност тихо уклања контролу која вам може затребати касније.

Читајте запис сервера и датотеку стања заједно, јер један показује одлуку о аутентификацији, а други ко је тренутно повезан. Два уноса са истим заједничким именом и једном виртуелном адресом потврђују судар идентитета, а не лимит рутера. Комерцијални пролази додају сопствене лимите, попут плана који дозвољава једну истовремену сесију, броја лиценци или правила које дозвољава једну сесију по јавној адреси, и ниједна поставка рутера не мења било шта од тога.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Ускладите поправку са уносом у запису

Одбијање у запису тражи одвојене податке за пријаву по уређају, виши лимит од онога ко води услугу, или другу крајњу тачку пролаза за једну машину. Ако ниједан други покушај никада не стигне до сервера, трајна поправка је рутер који пропушта протокол и држи више од једне сесије, или транспорт са којим рутер добро излази на крај, попут једног тока TCP или UDP. Избор између тога је одлука о животном веку опреме, не о поставкама клијента.

Не копирајте профил уређаја који ради на другу машину и не проглашавајте посао завршеним. Тиме проблем везе претварате у проблем контроле приступа, јер изгубљени лаптоп више не можете разликовати од копије која је још у употреби. То крије и изворни квар, који се враћа оног тренутка кад се појави трећи уређај.

Провера две живе сесије

Повежите оба уређаја истовремено, покрените предвиђену апликацију на сваком, затим поново повежите један од њих и поновите. Друга икона која се накратко појави не доказује ништа о саобраћају, а сесија која падне након десет минута други је баг са другим власником. Упоредите шта сервер на крају јавља са оним што су корисници видели, јер се та два извештаја често разилазе.

Ако обе сесије преживе и носе саобраћај, поправка држи и белешка коју сте написали на почетку постаје запис о томе шта није било у реду. Ако преживи само једна, вратите се на први корак и проверите који од три исхода записа сад имате, јер се одговор можда променио. Помоћници рутера могу прикрити проблем који се враћа на другој мрежи, док лимит по адреси прати корисника, а не уређај. Тестирање са друге мреже најјефтинији је начин да сазнате шта сте од тога заиста поправили.