Dödar den andra L2TP-klienten den första? Läs inkapslingen

En bärbar dator håller en fungerande tunnel genom kontorets router. En andra bärbar dator i samma rum ansluter, och den första faller. Om det är hela symtomet finns tre olika orsaker kvar på bordet, och vilken åtgärd som gäller beror på saker du ännu inte mätt. Den delade routern är relevant, men inte automatiskt skyldig, och protokollet inte heller.

Tre orsaker som ser identiska ut från soffan

Den första kandidaten är hur routern hanterar IPsec. Billiga konsumentroutrar annonserar ofta genomströmning och implementerar den för en klient i taget, eftersom mekanismen följer en enda peer och inte kan skilja två bärbara datorer bakom samma publika adress. Symtomet är precis vad du skulle förvänta dig: den nyare sessionen vinner.

Den andra är kontot. Många VPN-servrar tillåter en session per identitet och kopplar från den äldre när samma inloggningsuppgifter autentiseras igen, vilket är ett policybeslut på gatewayen och inte har något med din router att göra. Leta efter det uttryckliga meddelandet i serverloggen innan du köper hårdvara.

Den tredje är en enkel felkonfiguration: två profiler pekar på samma identitet, en av dem med en inaktuell fördelad nyckel eller ett certifikat som gatewayen inte längre accepterar. Den visar sig oftast som en misslyckad andra anslutning i stället för att den första faller, så felets form säger dig redan något.

Vad L2TP/IPsec faktiskt skickar genom routern

IKE körs över UDP 500. Datavägen är ESP, vilket är IP-protokoll 50 och inte bär några TCP- eller UDP-portar alls. En router som bara förstår portar har därför inget att ta på, och det är just därför genomströmningsmekanismen finns.

Med NAT-genomgång kapslas ESP in i UDP 4500. Nu har routern en källport att mappa, och varje bärbar dator får sin egen översättning, så gatewayen kan skilja två flöden. Det är mekanismen som alls gör det möjligt för flera klienter bakom en adress att fungera.

Skillnaden spelar roll när du läser en routers funktionslista. En etikett som säger IPsec-genomströmning berättar att tillverkaren har någon mekanism; den berättar inte om den mekanismen stöder flera klienter eller hur den beter sig när den andra anländer.

strongSwans dokumentation om NAT-genomgång beskriver själva inkapslingen, och det är den del du kan verifiera från paketinsamlingar i stället för från en marknadsföringssida.

Hur du tar reda på vilken orsak du faktiskt har

Gör fyra observationer och skriv ned varje resultat. Varje bärbar dator ensam: fungerar det, och hur länge? Båda samtidigt: vilken överlever? Den andra bärbara datorn på en telefonhotspot: står den första kvar? Och på gatewayen: visar serverloggen en ny session som ersätter en gammal, eller visar den en klient som bara tystnar?

De svaren skiljer kandidaterna rent. Ett ersättningsmeddelande i serverloggen pekar på identitetspolicyn. En klient som slutar ta emot trafik medan routern visar en ny översättning pekar på routern. Två klienter som båda inte slutför IKE pekar på konfigurationen eller inloggningsuppgifterna.

Behåll samma profiler hela tiden. Att byta profil mellan tester innebär att du mäter två variabler samtidigt, och slutsatsen blir fel på ett sätt som är mycket svårt att lägga märke till.

Spela in på routern om den stöder det, eller på en bärbar dator medan den andra ansluter. Att se den andra klientens paket dyka upp medan den förstas stannar är starkare bevis än någon ansluten-ikon.

Om routern är begränsningen

Använd tillverkarens dokumenterade konfiguration för flera klienter om den finns, eller byt ut enheten mot en vars dokumentation säger vad du behöver. Det är ett oglamoröst svar och det enda som överlever en firmwareuppdatering.

Det som inte fungerar är att lägga till två identiska inkommande vidarebefordringar mot två olika bärbara datorer. En vidarebefordran talar om för routern vart inkommande trafik ska skickas; den talar inte om vilken av två aktiva strömmar ett paket tillhör, och tvetydigheten är buggen.

Om routern inte kan bytas ut, sätt en klient bakom en annan väg. En telefonhotspot är en dålig permanent lösning och en helt bra diagnostisk.

Om gatewayen är begränsningen

Ordna separata identiteter för separata personer. Ett delat konto som används av två bärbara datorer är det arrangemang som skapar detta symtom på servrar konfigurerade för en enda session, och ingen lokal konfiguration rättar ett beslut som fattats i andra änden.

Fråga gatewayens ägare vilken policy som gäller: en session per konto, en per certifikat eller ingen gräns alls. Deras svar avgör om du behöver nya inloggningsuppgifter eller en ny router.

Verifieringen är den del folk hoppar över. Kör nyttig trafik från båda klienterna längre än det intervall som tidigare misslyckades, eftersom två lyckade inloggningar bara bevisar att autentiseringen fungerade en gång vardera.