L2TP/IPsec เชื่อมต่อได้บนเครือข่ายหนึ่งแต่หมดเวลาบนอีกเครือข่าย

แล็ปท็อปเครื่องเดิม โปรไฟล์เดิม และรหัสผ่านเดิมใช้งานได้ในอาคารหนึ่งแต่ล้มเหลวในอีกอาคารหนึ่ง การเปรียบเทียบนั้นเป็นหลักฐานที่มีประโยชน์ที่สุดในตั๋ว และมักเป็นสิ่งแรกที่ถูกทิ้ง ระหว่างสองเครือข่ายการเข้าถึง การแลกเปลี่ยนต้องผ่านการแปลที่อยู่คนละแบบ ตัวกรองคนละชุด และตัวช่วยเราเตอร์คนละตัว การตรึงไคลเอนต์ไว้แล้วเปลี่ยนเฉพาะเครือข่ายคือวิธีค้นหาว่าสิ่งใดในนั้นสำคัญ

กำหนดไคลเอนต์ให้ชัดก่อนเปรียบเทียบเครือข่าย

อย่าเปลี่ยนสิ่งใดบนอุปกรณ์จนกว่าจะมีบันทึกของกรณีที่ใช้งานได้: เวอร์ชันไคลเอนต์ เนื้อหาโปรไฟล์ ชื่อเซิร์ฟเวอร์ และเวลาของการเชื่อมต่อที่สำเร็จ จากนั้นจำลองความล้มเหลวบนเครือข่ายที่สองในเซสชันเดียวกัน เพื่อให้สถานะไคลเอนต์ใกล้เคียงกันที่สุด โปรไฟล์ที่ถูกแก้ไประหว่างสองความพยายามจะทำให้การเปรียบเทียบทั้งหมดเป็นโมฆะ เป้าหมายคือตัวแปรเดียว และตัวแปรนั้นคือเครือข่าย

ยืนยันการเข้าถึงอินเทอร์เน็ตปกติบนเครือข่ายที่ล้มเหลวก่อน รวมถึงพอร์ทัลผู้เยี่ยมชมหากมี พอร์ทัลที่ไม่เคยผ่านจะสร้างการหมดเวลาที่ดูเหมือนอุโมงค์ที่ถูกกรองทุกประการ และการตรวจนั้นใช้เวลาหนึ่งนาที

สี่ขั้น สี่ข้อความข้อผิดพลาดที่ต่างกัน

การเชื่อมต่อ L2TP/IPsec ผ่านสี่ขั้น และ RFC 3193 อธิบายการจัดวางที่ผูกสองขั้นแรกเข้าด้วยกัน การเจรจา IKE คือจุดที่เส้นทางที่ถูกกรองสร้างการหมดเวลาแบบเงียบ การพิสูจน์ตัวตน IPsec คือจุดที่ความไม่ตรงกันของใบรับรองหรือคีย์ที่แชร์ล่วงหน้าสร้างการปฏิเสธอย่างชัดเจนแทน การตั้งค่าอุโมงค์ L2TP คือจุดที่สมาคมความปลอดภัยที่ตั้งไว้แล้วยังอาจไม่นำไปที่ใดเลย และการเข้าสู่ระบบ PPP คือจุดที่ข้อมูลรับรองผิดพลาดในที่สุดสร้างความล้มเหลวที่มองเห็นได้ อ่านบันทึกของขั้นที่หยุด ไม่ใช่บรรทัดสุดท้ายที่พิมพ์ออกมา

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

บันทึกของ strongSwan แสดงว่าการแลกเปลี่ยน IKE ถึงข้อเสนอหรือไม่ และคู่ตรงข้ามตอบกลับหรือไม่ ซึ่งแยกการเข้าถึงได้ออกจากนโยบาย บันทึกของ xl2tpd ต่อจากจุดที่ IPsec สิ้นสุด ดังนั้นสมาคมความปลอดภัยที่ตั้งไว้แล้วโดยไม่มีสิ่งใดในบันทึกนั้นชี้ไปที่ขั้น L2TP การสอบถามเส้นทางยืนยันว่าไคลเอนต์ส่งไปยังที่อยู่เซิร์ฟเวอร์ที่คุณคิด ซึ่งจับคำตอบ DNS เก่าที่สืบทอดมาจากเครือข่ายก่อนหน้า เมื่อรวมกัน ผลลัพธ์ทั้งสามระบุขั้นแทนที่จะระบุอาการ

เปรียบเทียบความลึกของ NAT และพฤติกรรมของตัวช่วย

การข้าม NAT ย้ายทราฟฟิกที่ได้รับการป้องกันไปสู่การห่อหุ้ม UDP เมื่อตรวจพบการแปล ดังนั้นหมายเลขพอร์ตที่พกพาเซสชันที่ใช้งานได้อาจต่างจากหมายเลขในแผนภาพแบบคงที่ การอนุญาตแพ็กเก็ตตั้งค่าเพียงแพ็กเก็ตเดียวไม่ได้พิสูจน์สิ่งใดเกี่ยวกับการแลกเปลี่ยนที่เหลือ และการสแกนพอร์ตจากภายนอกไม่สามารถบอกได้ว่าคู่ตรงข้ามจัดการทราฟฟิกที่พิสูจน์ตัวตนแล้วอย่างถูกต้องอย่างไร ชั้นการแปลที่สองเปลี่ยนภาพอีกครั้ง เพราะการแมปมีอยู่สองครั้งและหมดอายุตามกำหนดการที่ต่างกัน การแปลระดับผู้ให้บริการบนการเชื่อมต่อมือถือเป็นสาเหตุปกติที่โปรไฟล์สำนักงานที่ใช้งานได้ล้มเหลวบนฮอตสปอตของโทรศัพท์

ตัวช่วยเราเตอร์แตกต่างกันพอ ๆ กับเครือข่าย เฟิร์มแวร์บางตัวดักจับและเขียนการแลกเปลี่ยนใหม่ บางตัวเพียงหยุดทิ้งมัน และบางตัวใช้การตั้งค่าเฉพาะในโหมดเก่า อ่านคำอธิบายของช่องทำเครื่องหมายจากเฟิร์มแวร์เอง และที่ใดมีโหมดความเข้ากันได้ ให้ทดสอบเป็นหนึ่งการเปลี่ยนแปลงโดยเจตนา ไม่ใช่สามอย่างพร้อมกัน

ไคลเอนต์ขาออก เซิร์ฟเวอร์ขาเข้า: ปัญหาสองอย่างที่ต่างกัน

ไคลเอนต์ขาออกและเซิร์ฟเวอร์ขาเข้าต้องการการเข้าถึงต้นทางที่ต่างกัน และคุณสมบัติการผ่านทะลุที่ช่วยตัวแรกไม่ทำอะไรให้ตัวที่สอง เราเตอร์บ้านที่ให้แล็ปท็อปเข้าถึงเกตเวย์ระยะไกลไม่ได้ยอมรับการเชื่อมต่อขาเข้าสู่เซิร์ฟเวอร์ที่อยู่ข้างหลังด้วยเหตุนั้น การสับสนระหว่างสองสิ่งทำให้คุณไปหาการส่งต่อพอร์ตที่ไม่เคยเป็นปัญหา ระบุว่าเครื่องที่ล้มเหลวมีบทบาทใดก่อนเปรียบเทียบสิ่งใด

หลังการเปลี่ยนแปลงที่รองรับ ให้ทำการเชื่อมต่อเดิมซ้ำและบันทึกขั้นที่ไปถึง เก็บโปรไฟล์ที่ใช้งานได้และบันทึกเกี่ยวกับเครือข่ายที่ล้มเหลวไว้ด้วยกัน และอย่ารีเซ็ตข้อมูลรับรองหรือติดตั้งไคลเอนต์ใหม่ เพราะนั่นทิ้งหลักฐานที่การเปรียบเทียบสร้างขึ้นมา