Bakit isang VPN client lang ang kumokonekta sa likod ng parehong router

Dalawang laptop ang nasa parehong network ng bahay, at tinatanggap ng VPN ng opisina ang eksaktong isa sa kanila. Ang pangalawa ay nauubusan ng oras o naghihintay hanggang ma-disconnect ang una, at walang gumalaw sa setting ng client sa pagitan ng dalawang pagtatangka. Ang mga kredensyal ay kapareho ng gumana isang minuto ang nakalipas, at ito ang palatandaan na ang pagpapatunay ay hindi ang kabiguan. Tatlong mekanismo ang lumilikha ng pattern na ito, at sinasabi ng log mismo ng server kung alin ang kinakaharap mo.

Basahin ang log ng gateway bago hawakan ang isang client

Ang talaan ng server sa dalawang pagtatangka ay sumasagot sa unang tanong, at sumasagot ito sa isa sa tatlong paraan. Kung ang pangalawang pagtatangka ay hindi kailanman lumilitaw sa log na iyon, hindi kailanman nakarating ang packet sa tagapakinig, at ang problema ay sa router ng bahay o sa ruta ng provider. Kung itinatala ng log ang isang pagtatangka at tinatanggihan ito, nakarating ang tunnel, kaya ang usapin ay pagkakakilanlan, lisensya o limitasyon ng session, hindi isang bagay sa kable. Kung itinatala ng log ang isang matagumpay na session habang nag-uulat pa rin ng kabiguan ang client, tingnan ang ruta ng pagbabalik o kung iisa ang address ng tunnel na ibinibigay sa dalawang client.

Ang hotspot mula sa telepono ay naghihiwalay sa mga pamilyang iyon nang mura: patakbuhin ang pangalawang client sa mobile data habang nakakonekta ang una. Ang tagumpay doon ay tumuturo sa network ng bahay, at ang parehong kabiguan doon ay tumuturo sa gateway, na nag-iiwan sa router na walang kasalanan. Walang resulta ang mapagpasya nang mag-isa, ngunit ang bawat isa ay nag-aalis ng kalahati ng espasyo ng paghahanap sa isang pagtatangka.

Isulat ang resulta bago baguhin ang anuman, dahil ang tatlong kinalabasan ng log ay humahantong sa tatlong walang kaugnayang pag-aayos. Ang tala na nagsasabi kung alin sa tatlo ang nakita mo ay mas mahalaga kaysa sa screenshot ng error ng client.

Ano ang ginagawa ng router sa GRE at NAT-T

Ang PPTP ang klasikong salarin: ang control channel ay TCP 1723 habang ang data path ay GRE, ang protocol IP 47. Maraming router ng consumer ay may kasamang PPTP helper na sumusubaybay sa isang control connection, kaya ang pangalawang client sa likod ng parehong NAT ay nagbubukas ng sariling control channel at pagkatapos ay walang natatanggap na data path. Ang pag-forward ng TCP port na may numerong 47 ay walang ginagawa para sa GRE, dahil ang GRE ay numero ng protocol at hindi port.

L2TP sa ibabaw ng IPsec ay kumikilos nang iba dahil sa disenyo: gumagamit ang IKE ng UDP 500, inililipat ng NAT traversal ang protektadong payload sa UDP 4500, at ang encapsulation ay umiiral para makarating ang maraming client sa likod ng isang address sa parehong gateway. Ang disenyong iyon ay hindi pumipigil sa isang gateway o intermediate box na magpataw ng limitasyon ng session bawat address, at mula sa sopa ay magkapareho ang dalawang kabiguan. Ang sariling protocol ng SoftEther ay may parehong uri ng problema: ang router na walang gumaganang pass-through ay tumatanggap sa unang client mula sa LAN at tinatanggihan ang pangalawa. Subukan ang ALG o pass-through switch ng router sa parehong posisyon, dahil ang helper na isinulat para sa lumang client ay maaaring makasira ng mga packet na ipinapadala ng kasalukuyan.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Mga limitasyon ng pagkakakilanlan na mukhang limitasyon ng transport

Hindi lang ang router ang pinaghihinalaan, at ang log ay nagtatangi nito sa alternatibo. Kapag ang server ng OpenVPN ay nagpako ng karaniwang pangalan sa isang address ng tunnel, natatanggap ng dalawang aparato ang address na iyon, at kung walang duplicate-cn ay itinutulak ng mas bagong session ang mas luma. Ang pagpapagana ng opsyong iyon ay nag-iiwan sa dalawa na nakakonekta ngunit nag-iiwan sa kanila ng isang pagkakakilanlan, isang sertipiko at isang desisyon sa pagbawi, na mas masama kaysa sa itsura nito. Hindi na kailanman mababawi nang mag-isa ang pangalawang aparato, kaya ang switch para sa kaginhawahan ay tahimik na nag-aalis ng kontrol na maaaring kailanganin mo mamaya.

Basahin ang journal ng server at ang status file nito nang sabay, dahil ang isa ay nagpapakita ng desisyon sa pagpapatunay at ang isa ay nagpapakita kung sino ang nakakonekta ngayon. Dalawang entry na may parehong karaniwang pangalan at isang virtual address ay nagpapatunay ng banggaan ng pagkakakilanlan at hindi ng limitasyon ng router. Ang mga komersyal na gateway ay nagdaragdag ng sariling limitasyon, tulad ng plano na nagpapahintulot ng isang session nang sabay, bilang ng lisensya o panuntunang nagpapahintulot ng isang session bawat pampublikong address, at walang setting ng router ang nagbabago sa alinman sa mga iyon.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Itugma ang pag-aayos sa entry ng log

Ang pagtanggi sa log ay nangangailangan ng hiwalay na kredensyal bawat aparato, mas mataas na limitasyon mula sa nagpapatakbo ng serbisyo, o pangalawang endpoint ng gateway para sa isang makina. Kung walang pangalawang pagtatangka na nakarating sa server, ang pangmatagalang pag-aayos ay isang router na nagpapasa ng protocol at may hawak na higit sa isang session, o isang transport na mahusay na hinahawakan ng router, tulad ng isang TCP o UDP flow. Ang pagpili sa pagitan ng mga iyon ay desisyon tungkol sa buhay ng hardware, hindi sa mga setting ng client.

Huwag kopyahin ang profile ng gumaganang aparato sa pangalawang makina at sabihing tapos na. Ginagawa niyon ang problema sa koneksyon na problema sa kontrol ng access, dahil ang nawawalang laptop ay hindi na makikilala sa kopyang ginagamit pa. Itinatago rin nito ang orihinal na depekto, na bumabalik sa sandaling lumitaw ang pangatlong aparato.

Pagpapatunay ng dalawang buhay na session

Ikonekta ang dalawang aparato nang sabay, patakbuhin ang nilalayong app sa bawat isa, pagkatapos ay ikonekta muli ang isa sa kanila at ulitin. Ang pangalawang icon na lumilitaw nang ilang sandali ay walang pinapatunayan tungkol sa trapiko, at ang session na bumabagsak pagkatapos ng sampung minuto ay ibang bug na may ibang may-ari. Ihambing ang iniuulat ng server sa dulo sa nakita ng mga user, dahil ang dalawang ulat na ito ay madalas na hindi nagkakasundo.

Kung ang dalawang session ay nananatiling buhay at nagdadala ng trapiko, nananatili ang pag-aayos, at ang tala na isinulat mo sa simula ay nagiging rekord ng kung ano ang mali. Kung isa lang ang nananatiling buhay, bumalik sa unang hakbang at tingnan kung alin sa tatlong kinalabasan ng log ang mayroon ka ngayon, dahil maaaring nagbago ang sagot. Ang mga helper ng router ay maaaring magtago ng problemang muling lumilitaw sa ibang network, samantalang ang limitasyon bawat address ay sumusunod sa user at hindi sa aparato. Ang pagsubok mula sa pangalawang network ang pinakamurang paraan para malaman kung alin sa mga iyon ang talagang inayos mo.