İkinci L2TP istemcisi birinciyi öldürür mü? Kapsüllemeyi okuyun

Bir dizüstü bilgisayar ofis yönlendiricisi üzerinden çalışan bir tünel tutuyor. Aynı odadaki ikinci dizüstü bilgisayar bağlanıyor ve birincisi düşüyor. Belirti bu kadarsa masada hâlâ üç farklı neden var ve hangi düzeltmenin geçerli olduğu henüz ölçmediğiniz şeylere bağlı. Ortak yönlendirici önemli, ama otomatik olarak suçlu değil, protokol de değil.

Kanepeden aynı görünen üç neden

İlk aday yönlendiricinin IPsec ile başa çıkma biçimi. Ucuz tüketici yönlendiricileri sık sık geçiş reklamı yapar ve bunu tek seferde tek istemci için uygular, çünkü mekanizma tek bir eşi izler ve aynı genel adresin arkasındaki iki dizüstü bilgisayarı ayıramaz. Belirti tam da bekleyeceğiniz gibidir: daha yeni oturum kazanır.

İkincisi hesap. Birçok VPN sunucusu kimlik başına bir oturuma izin verir ve aynı kimlik bilgileri yeniden doğrulandığında daha eskisini keser; bu, geçitte alınan bir ilke kararıdır ve yönlendiricinizle hiçbir ilgisi yoktur. Donanım satın almadan önce sunucu günlüğünde o açık mesajı arayın.

Üçüncüsü basit bir yanlış yapılandırmadır: iki profil aynı kimliğe işaret eder, biri eski bir ön paylaşımlı anahtar veya geçidin artık kabul etmediği bir sertifikayla birliktedir. Bu genellikle birincinin düşmesi yerine ikinci bağlantının başarısız olması olarak ortaya çıkar, yani arızanın biçimi size bir şey söylüyor.

L2TP/IPsec yönlendiriciden gerçekte ne gönderir

IKE, UDP 500 üzerinden çalışır. Veri yolu ESP'dir, bu IP protokolü 50'dir ve hiç TCP veya UDP bağlantı noktası taşımaz. Bu yüzden yalnızca bağlantı noktalarını anlayan yönlendiricinin tutunacak bir şeyi yoktur ve geçiş mekanizmasının var olmasının nedeni tam olarak budur.

NAT geçişiyle ESP, UDP 4500 içine kapsüllenir. Artık yönlendiricinin eşleyeceği bir kaynak bağlantı noktası vardır ve her dizüstü bilgisayar kendi çevirisini alır, böylece geçit iki akışı ayırt edebilir. Tek bir adresin arkasındaki birden çok istemcinin çalışmasını baştan mümkün kılan mekanizma budur.

Bu ayrım, bir yönlendiricinin özellik listesini okurken önemlidir. IPsec geçişi yazan bir etiket, üreticinin bir mekanizması olduğunu söyler; o mekanizmanın birden çok istemciyi destekleyip desteklemediğini veya ikinci geldiğinde nasıl davrandığını söylemez.

strongSwan'ın NAT geçişi belgeleri kapsüllemenin kendisini açıklar ve bu, pazarlama sayfasından değil paket yakalamalarından doğrulayabileceğiniz kısımdır.

Hangi nedenin gerçekte sizde olduğunu nasıl anlarsınız

Dört gözlem yapın ve her sonucu yazın. Her dizüstü bilgisayar tek başına: çalışıyor mu ve ne kadar süre? İkisi birlikte: hangisi ayakta kalıyor? İkinci dizüstü bilgisayar bir telefon erişim noktasında: birincisi duruyor mu? Ve geçitte: sunucu günlüğü eski bir oturumun yerini alan yeni bir oturum mu gösteriyor, yoksa sessizleşen tek bir istemci mi?

Bu yanıtlar adayları temiz biçimde ayırır. Sunucu günlüğündeki değiştirme mesajı kimlik ilkesine işaret eder. Yönlendirici yeni bir çeviri gösterirken trafik almayı bırakan istemci yönlendiriciye işaret eder. İkisi de IKE'yi tamamlayamayan iki istemci yapılandırmaya veya kimlik bilgilerine işaret eder.

Baştan sona aynı profilleri koruyun. Testler arasında profil değiştirmek, aynı anda iki değişken ölçtüğünüz anlamına gelir ve sonuç fark edilmesi çok zor bir biçimde yanlış olur.

Yönlendirici destekliyorsa orada yakalayın, ya da diğeri bağlanırken bir dizüstü bilgisayarda yakalayın. Birinci istemcinin paketleri dururken ikinci istemcinin paketlerinin belirdiğini görmek herhangi bir bağlı simgesinden daha güçlü kanıttır.

Kısıt yönlendiriciyse

Üreticinin belgelenmiş çok istemcili yapılandırması varsa onu kullanın ya da cihazı belgeleri ihtiyacınızı söyleyen bir cihazla değiştirin. Bu gösterişsiz bir yanıttır ve ürün yazılımı güncellemesinden sonra ayakta kalan tek yanıttır.

İşe yaramayan şey, iki farklı dizüstü bilgisayara doğru iki özdeş gelen yönlendirmesi eklemektir. Yönlendirme, gelen trafiğin nereye gönderileceğini söyler; paketin iki etkin akıştan hangisine ait olduğunu söylemez ve belirsizlik hatanın kendisidir.

Yönlendirici değiştirilemiyorsa bir istemciyi başka bir yolun arkasına koyun. Telefon erişim noktası kötü bir kalıcı çözüm ve tamamen iyi bir tanılama çözümüdür.

Kısıt geçitse

Ayrı kişiler için ayrı kimlikler sağlayın. İki dizüstü bilgisayarın kullandığı tek bir ortak hesap, tek oturum için yapılandırılmış sunucularda bu belirtiyi üreten düzenlemedir ve hiçbir yerel yapılandırma diğer uçta alınan bir kararı düzeltmez.

Geçit sahibine hangi ilkenin geçerli olduğunu sorun: hesap başına bir oturum, sertifika başına bir oturum mu, yoksa hiç sınır yok mu. Yanıtları yeni kimlik bilgilerine mi yoksa yeni bir yönlendiriciye mi ihtiyacınız olduğunu belirler.

Doğrulama, insanların atladığı kısımdır. Her iki istemciden de yararlı trafiği eskiden başarısız olan aralıktan daha uzun süre çalıştırın, çünkü iki başarılı oturum açma yalnızca kimlik doğrulamanın her birinde bir kez çalıştığını kanıtlar.