Kumokonekta ang L2TP/IPsec sa isang network at nagti-time out sa iba

Gumagana ang parehong laptop, parehong profile at parehong password sa isang gusali at nabibigo sa iba. Ang paghahambing na iyon ang pinakakapaki-pakinabang na ebidensya sa ticket, at kadalasan ito ang unang itinatapon. Sa pagitan ng dalawang network ng access, dumadaan ang palitan sa ibang pagsasalin ng address, ibang filter at ibang helper ng router. Ang pagpapanatiling nakapirme ang client at pagpapalit lamang ng network ang paraan upang malaman kung alin sa mga ito ang mahalaga.

Ipinirme ang client bago ihambing ang mga network

Huwag baguhin ang anuman sa device hanggang mayroon kang talaan ng gumaganang kaso: bersyon ng client, nilalaman ng profile, pangalan ng server at oras ng matagumpay na koneksyon. Pagkatapos ay i-reproduce ang kabiguan sa pangalawang network sa parehong session, upang ang estado ng client ay maging kasing-identikal hangga't maaari. Ang profile na na-edit sa pagitan ng dalawang pagtatangka ay nagpapawalang-bisa sa buong paghahambing. Ang layunin ay isang variable, at ang variable na iyon ay ang network.

Kumpirmahin muna ang ordinaryong pag-access sa internet sa nabibigong network, kabilang ang guest portal kung mayroon. Ang portal na hindi kailanman natupad ay gumagawa ng timeout na kamukhang-kamukha ng na-filter na tunnel, at ang pagsusuring iyon ay tumatagal ng isang minuto.

Apat na yugto, apat na magkaibang mensahe ng error

Ang koneksyon ng L2TP/IPsec ay dumadaan sa apat na yugto, at RFC 3193 ang naglalarawan ng kaayusang nag-uugnay sa unang dalawa. Ang negosasyon ng IKE ang lugar kung saan ang na-filter na landas ay gumagawa ng tahimik na timeout. Ang pagpapatotoo ng IPsec ang lugar kung saan ang hindi pagkakatugma ng sertipiko o paunang ibinahaging key ay gumagawa sa halip ng hayagang pagtanggi. Ang pag-set up ng L2TP tunnel ang lugar kung saan ang naitatag nang samahan ng seguridad ay maaari pa ring hindi humantong kahit saan, at ang pag-login sa PPP ang lugar kung saan ang maling kredensyal ay sa wakas gumagawa ng nakikitang kabiguan. Basahin ang log para sa yugtong huminto, hindi para sa huling linyang na-print.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Ipinapakita ng log ng strongSwan kung naabot ng palitan ng IKE ang isang panukala at kung sumagot man lang ang peer, na naghihiwalay ng maabot mula sa patakaran. Ang log ng xl2tpd ay pumapalit kung saan nagtatapos ang IPsec, kaya ang naitatag nang samahan ng seguridad na walang anuman sa log na iyon ay tumutukoy sa yugto ng L2TP. Kinukumpirma ng query ng ruta na ang client ay nagpapadala patungo sa address ng server na iniisip mo, na humuhuli ng lumang sagot ng DNS na minana mula sa nakaraang network. Sama-sama, pinangalanan ng tatlong output ang isang yugto sa halip na sintomas.

Ihambing ang lalim ng NAT at pag-uugali ng helper

Inililipat ng traversal ng NAT ang protektadong trapiko patungo sa encapsulation ng UDP kapag natukoy ang pagsasalin, kaya ang mga numero ng port na nagdadala ng gumaganang session ay maaaring iba sa mga nasa statikong diagram. Ang pagpayag sa isang setup packet ay walang pinatutunayan tungkol sa natitirang palitan, at ang panlabas na pag-scan ng port ay hindi masasabi sa iyo kung paano tinatrato ng peer ang valid na authenticated na trapiko. Ang pangalawang layer ng pagsasalin ay muling nagbabago ng larawan, dahil ang mapping ay umiiral na nang dalawang beses at nag-expire sa dalawang magkaibang iskedyul. Ang pagsasalin sa antas ng carrier sa isang mobile na koneksyon ang karaniwang dahilan kung bakit nabibigo ang gumaganang profile ng opisina sa hotspot ng telepono.

Nagkakaiba ang mga helper ng router gaya ng mga network. Ang ilang firmware ay humaharang at nagsusulat muli ng palitan, ang iba ay tumitigil na lamang sa pagtatapon nito, at ang iba ay inilalapat lamang ang setting sa isang lumang mode. Basahin ang sariling paglalarawan ng firmware sa checkbox, at kung saan may compatibility mode, subukan ito bilang isang sadyang pagbabago sa halip na tatlo nang sabay.

Papalabas na client, papasok na server: dalawang magkaibang problema

Ang papalabas na client at papasok na server ay nangangailangan ng magkaibang maabot sa upstream, at ang pass-through na feature na tumutulong sa una ay walang ginagawa para sa pangalawa. Ang home router na nagpapahintulot sa laptop na maabot ang malayong gateway ay hindi dahil doon tumatanggap ng mga papasok na koneksyon sa isang server sa likod nito. Ang paghahalo sa dalawa ay nagpapadala sa iyo na maghanap ng port forwarding na hindi kailanman naging problema. Sabihin kung anong papel ang ginagampanan ng nabibigong device bago ihambing ang anuman.

Pagkatapos ng sinusuportahang pagbabago, ulitin ang parehong koneksyon at itala ang yugtong naabot nito. Itago nang magkasama ang gumaganang profile at ang tala tungkol sa nabibigong network, at huwag i-reset ang mga kredensyal o i-install muli ang client, dahil itinatapon nito ang ebidensyang pinagbatayan ng paghahambing.