L2TP/IPsec ansluter i ett nätverk och får timeout i ett annat

Samma laptop, samma profil och samma lösenord fungerar i en byggnad och misslyckas i en annan. Den jämförelsen är det mest användbara beviset i ärendet, och den kastas vanligtvis bort först. Mellan två åtkomstnätverk passerar utbytet genom olika adressöversättning, olika filter och olika routerhjälpare. Att hålla klienten fast och bara byta nätverk är hur du tar reda på vilka av dem som spelar roll.

Lås klienten innan du jämför nätverk

Ändra inget på enheten förrän du har en registrering av det fungerande fallet: klientversion, profilens innehåll, servernamn och tidpunkten för den lyckade anslutningen. Reproducera sedan felet i det andra nätverket under samma session, så att klienttillståndet är så identiskt det kan bli. En profil som redigeras mellan de två försöken ogiltigförklarar hela jämförelsen. Målet är en variabel, och den variabeln är nätverket.

Bekräfta först vanlig internetåtkomst i det felande nätverket, inklusive en gästportal om en sådan finns. En portal som aldrig uppfylldes ger en timeout som ser exakt ut som en filtrerad tunnel, och den kontrollen tar en minut.

Fyra faser, fyra olika felmeddelanden

En L2TP/IPsec-anslutning passerar fyra faser, och RFC 3193 beskriver den ordning som binder de två första. IKE-förhandlingen är där en filtrerad väg ger en tyst timeout. IPsec-autentiseringen är där en avvikelse i certifikat eller fördelad nyckel i stället ger en uttrycklig avvisning. L2TP-tunneluppsättningen är där en etablerad säkerhetsassociation ändå kan leda ingenstans, och PPP-inloggningen är där en felaktig inloggningsuppgift äntligen ger ett synligt fel. Läs loggen för den fas som stoppade, inte för den sista raden den skrev ut.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

strongSwan-loggen visar om IKE-utbytet nådde ett förslag och om peeren alls svarade, vilket skiljer nåbarhet från policy. xl2tpd-loggen tar vid där IPsec slutar, så en etablerad säkerhetsassociation utan något i den loggen pekar på L2TP-fasen. Ruttfrågan bekräftar att klienten skickar mot den serveradress du tror, vilket fångar ett inaktuellt DNS-svar som ärvts från det föregående nätverket. Tillsammans namnger de tre utskrifterna en fas i stället för ett symptom.

Jämför NAT-djup och hjälparbeteende

NAT-genomträngning flyttar skyddad trafik till UDP-inkapsling när översättning upptäcks, så portnumren som bär en fungerande session kan skilja sig från dem i ett statiskt diagram. Att tillåta ett enda uppsättningspaket bevisar ingenting om resten av utbytet, och en extern portskanning kan inte berätta hur peeren behandlar giltig autentiserad trafik. Ett andra översättningslager ändrar bilden igen, eftersom mappningen nu finns två gånger och löper ut enligt två olika scheman. Översättning på operatörsnivå på en mobilanslutning är det vanliga skälet till att en fungerande kontorsprofil misslyckas på en telefonhotspot.

Routerhjälpare varierar lika mycket som nätverken. En del firmware fångar upp och skriver om utbytet, en del slutar bara att släppa det, och en del tillämpar bara inställningen i ett äldre läge. Läs firmwarens egen beskrivning av kryssrutan, och där ett kompatibilitetsläge finns, testa det som en medveten ändring i stället för tre på en gång.

Utgående klient, inkommande server: två olika problem

En utgående klient och en inkommande server behöver olika uppströms nåbarhet, och en genomsläppsfunktion som hjälper den första gör ingenting för den andra. En hemrouter som låter laptopen nå en fjärrgateway accepterar därmed inte inkommande anslutningar till en server bakom den. Att blanda ihop de två skickar dig att leta efter portvidarebefordran som aldrig var problemet. Ange vilken roll den felande enheten har innan du jämför något.

Upprepa efter en ändring som stöds samma anslutning och registrera vilken fas den nådde. Förvara den fungerande profilen och anteckningen om det felande nätverket tillsammans, och återställ inte inloggningsuppgifter eller installera om klienten, för det kastar bort beviset som jämförelsen byggdes på.