ไคลเอนต์ L2TP ตัวที่สองฆ่าตัวแรกหรือ? อ่านการห่อหุ้ม

แล็ปท็อปเครื่องหนึ่งถืออุโมงค์ที่ทำงานอยู่ผ่านเราเตอร์ของออฟฟิศ แล็ปท็อปเครื่องที่สองในห้องเดียวกันเชื่อมต่อ และเครื่องแรกก็หลุด ถ้านี่คืออาการทั้งหมด ยังมีสาเหตุที่แตกต่างกันสามข้ออยู่บนโต๊ะ และการแก้ไขแบบใดจะใช้ได้ขึ้นอยู่กับสิ่งที่คุณยังไม่ได้วัด เราเตอร์ที่ใช้ร่วมกันนั้นเกี่ยวข้อง แต่ไม่ได้ผิดโดยอัตโนมัติ และโปรโตคอลก็เช่นกัน

สามสาเหตุที่ดูเหมือนกันจากโซฟา

ผู้ต้องสงสัยรายแรกคือวิธีที่เราเตอร์จัดการ IPsec เราเตอร์สำหรับผู้บริโภคราคาถูกมักโฆษณาการส่งผ่านและใช้งานกับไคลเอนต์ทีละราย เพราะกลไกติดตามคู่ค้าเพียงรายเดียวและไม่สามารถแยกแล็ปท็อปสองเครื่องที่อยู่หลังที่อยู่สาธารณะเดียวกัน อาการคือสิ่งที่คุณคาดไว้เป๊ะ ๆ คือเซสชันใหม่กว่าชนะ

ข้อที่สองคือบัญชี เซิร์ฟเวอร์ VPN จำนวนมากอนุญาตหนึ่งเซสชันต่อหนึ่งตัวตน และตัดการเชื่อมต่อเซสชันเก่าเมื่อข้อมูลรับรองชุดเดิมยืนยันตัวตนอีกครั้ง ซึ่งเป็นการตัดสินใจเชิงนโยบายที่เกตเวย์และไม่เกี่ยวกับเราเตอร์ของคุณเลย ค้นหาข้อความชัดเจนนั้นในบันทึกของเซิร์ฟเวอร์ก่อนซื้อฮาร์ดแวร์

ข้อที่สามคือการกำหนดค่าผิดอย่างง่าย ๆ คือมีโปรไฟล์สองอันชี้ไปที่ตัวตนเดียวกัน อันหนึ่งมีคีย์ที่แชร์ล่วงหน้าที่ล้าสมัยหรือใบรับรองที่เกตเวย์ไม่ยอมรับแล้ว อันนั้นมักปรากฏเป็นการเชื่อมต่อครั้งที่สองที่ล้มเหลวมากกว่าการที่ครั้งแรกหลุด ดังนั้นรูปร่างของความล้มเหลวก็บอกอะไรคุณอยู่แล้ว

L2TP/IPsec ส่งอะไรผ่านเราเตอร์จริง ๆ

IKE ทำงานบน UDP 500 เส้นทางข้อมูลคือ ESP ซึ่งเป็นโปรโตคอล IP หมายเลข 50 และไม่พอร์ต TCP หรือ UDP เลย เราเตอร์ที่เข้าใจแค่พอร์ตจึงไม่มีอะไรให้ยึด และนั่นคือเหตุผลที่กลไกการส่งผ่านมีอยู่

เมื่อใช้ NAT traversal ESP จะถูกห่อหุ้มไว้ใน UDP 4500 ตอนนี้เราเตอร์มีพอร์ตต้นทางให้แมป และแล็ปท็อปแต่ละเครื่องได้รับการแปลของตัวเอง เกตเวย์จึงแยกสองโฟลว์ออกจากกันได้ นี่คือกลไกที่ทำให้ไคลเอนต์หลายรายหลังที่อยู่เดียวนั้นทำงานได้เลย

ความแตกต่างนี้สำคัญเมื่อคุณอ่านรายการคุณสมบัติของเราเตอร์ ป้ายที่เขียนว่าส่งผ่าน IPsec บอกคุณว่าผู้ขายมีกลไกบางอย่าง แต่ไม่ได้บอกว่ากลไกนั้นรองรับหลายไคลเอนต์หรือทำงานอย่างไรเมื่อรายที่สองมาถึง

เอกสารของ strongSwan เกี่ยวกับ NAT traversal อธิบายการห่อหุ้มเอง และนั่นคือส่วนที่คุณตรวจสอบได้จากการดักจับแพ็กเก็ตไม่ใช่จากหน้าขายสินค้า

จะรู้ได้อย่างไรว่าคุณมีสาเหตุใดจริง ๆ

ทำการสังเกตสี่อย่างและจดทุกผลลัพธ์ แล็ปท็อปแต่ละเครื่องตามลำพัง ทำงานได้ไหมและได้นานแค่ไหน ทั้งสองเครื่องพร้อมกัน เครื่องไหนอยู่รอด แล็ปท็อปเครื่องที่สองบนฮอตสปอตของโทรศัพท์ เครื่องแรกยังอยู่หรือไม่ และที่เกตเวย์ บันทึกของเซิร์ฟเวอร์แสดงเซสชันใหม่ที่แทนที่เซสชันเก่า หรือแสดงไคลเอนต์หนึ่งรายที่เงียบไปเฉย ๆ

คำตอบเหล่านั้นแยกผู้ต้องสงสัยออกจากกันอย่างชัดเจน ข้อความแทนที่ในบันทึกเซิร์ฟเวอร์ชี้ไปที่นโยบายตัวตน ไคลเอนต์ที่หยุดรับทราฟฟิกในขณะที่เราเตอร์แสดงการแปลใหม่ชี้ไปที่เราเตอร์ ไคลเอนต์สองรายที่ทั้งคู่ทำ IKE ไม่สำเร็จชี้ไปที่การกำหนดค่าหรือข้อมูลรับรอง

ใช้โปรไฟล์เดิมตลอดกระบวนการ การเปลี่ยนโปรไฟล์ระหว่างการทดสอบหมายความว่าคุณวัดตัวแปรสองตัวพร้อมกัน และข้อสรุปจะผิดในแบบที่สังเกตได้ยากมาก

ดักจับที่เราเตอร์หากรองรับ หรือที่แล็ปท็อปเครื่องหนึ่งในขณะที่อีกเครื่องเชื่อมต่อ การเห็นแพ็กเก็ตของไคลเอนต์รายที่สองปรากฏขึ้นในขณะที่ของรายแรกหยุดนั้นเป็นหลักฐานที่แข็งกว่าทุกไอคอนเชื่อมต่อ

หากเราเตอร์เป็นข้อจำกัด

ใช้การกำหนดค่าหลายไคลเอนต์ที่ผู้ขายจัดทำเอกสารไว้หากมี หรือเปลี่ยนอุปกรณ์เป็นเครื่องที่เอกสารบอกว่าตรงกับสิ่งที่คุณต้องการ นั่นคือคำตอบที่ไม่หรูหราและเป็นคำตอบเดียวที่อยู่รอดหลังการอัปเดตเฟิร์มแวร์

สิ่งที่ใช้ไม่ได้คือการเพิ่มการส่งต่อขาเข้าเหมือนกันสองรายการไปยังแล็ปท็อปสองเครื่องที่ต่างกัน การส่งต่อบอกเราเตอร์ว่าจะส่งทราฟฟิกที่เข้ามาไปที่ไหน มันไม่ได้บอกว่าแพ็กเก็ตเป็นของโฟลว์ใดในสองโฟลว์ที่ทำงานอยู่ และความกำกวมนั้นคือบั๊ก

หากเปลี่ยนเราเตอร์ไม่ได้ ให้วางไคลเอนต์หนึ่งรายไว้หลังเส้นทางอื่น ฮอตสปอตของโทรศัพท์เป็นวิธีแก้ระยะยาวที่แย่และเป็นวิธีวินิจฉัยที่ดีมาก

หากเกตเวย์เป็นข้อจำกัด

จัดหาตัวตนแยกสำหรับคนแยกกัน บัญชีร่วมหนึ่งบัญชีที่แล็ปท็อปสองเครื่องใช้คือรูปแบบที่ทำให้เกิดอาการนี้บนเซิร์ฟเวอร์ที่กำหนดค่าไว้สำหรับเซสชันเดียว และการกำหนดค่าในเครื่องก็ไม่สามารถแก้ไขการตัดสินใจที่ปลายอีกด้านได้

ถามเจ้าของเกตเวย์ว่านโยบายใดใช้บังคับ หนึ่งเซสชันต่อบัญชี หนึ่งเซสชันต่อใบรับรอง หรือไม่มีขีดจำกัดเลย คำตอบของพวกเขาตัดสินว่าคุณต้องใช้ข้อมูลรับรองใหม่หรือเราเตอร์ใหม่

การตรวจสอบคือส่วนที่ผู้คนข้ามไป ส่งทราฟฟิกที่มีประโยชน์จากไคลเอนต์ทั้งสองนานกว่าช่วงเวลาที่เคยล้มเหลว เพราะการเข้าสู่ระบบสำเร็จสองครั้งพิสูจน์เพียงว่าการยืนยันตัวตนทำงานได้ครั้งละหนึ่งครั้งเท่านั้น