Aynı yönlendiricinin arkasında neden yalnızca bir VPN istemcisi bağlanıyor

İki dizüstü bilgisayar aynı ev ağında duruyor ve ofis VPN'i bunlardan tam olarak birini kabul ediyor. İkincisi ya zaman aşımına uğruyor ya da birincisi bağlantıyı kesene kadar bekliyor ve iki deneme arasında kimse bir istemci ayarına dokunmadı. Kimlik bilgileri bir dakika önce çalışanların aynısı, ve bu, kimlik doğrulamanın arıza olmadığının ipucu. Bu deseni üç mekanizma üretiyor ve hangisiyle karşı karşıya olduğunuzu sunucunun kendi günlüğü söylüyor.

Bir istemciye dokunmadan önce ağ geçidi günlüğünü okuyun

Sunucunun iki denemeye ilişkin kaydı ilk soruyu yanıtlıyor ve bunu üç yoldan biriyle yapıyor. İkinci deneme o günlükte hiç görünmüyorsa paket dinleyiciye hiç ulaşmamıştır ve sorun ev yönlendiricisinindir ya da sağlayıcının yolunundur. Günlük bir denemeyi kaydedip reddediyorsa tünel ulaşmıştır, yani mesele kimlik, lisans veya oturum sınırıdır, kablodaki bir şey değil. Günlük başarılı bir oturum kaydederken istemci hâlâ hata bildiriyorsa dönüş yoluna ya da iki istemciye aynı tünel adresinin verilip verilmediğine bakın.

Bir telefon erişim noktası bu aileleri ucuza ayırır: birincisi bağlı kalırken ikinci istemciyi mobil veri üzerinden çalıştırın. Oradaki başarı ev ağını işaret eder ve oradaki aynı arıza ağ geçidini işaret eder, bu da yönlendiriciyi masum bırakır. Hiçbir sonuç tek başına belirleyici değildir, ama her biri tek denemede arama uzayının yarısını ortadan kaldırır.

Herhangi bir şeyi değiştirmeden önce sonucu yazın, çünkü günlüğün üç sonucu birbiriyle ilgisiz üç onarıma götürür. Üçünden hangisini gördüğünüzü belirten bir not, istemci hatasının ekran görüntüsünden daha değerlidir.

Yönlendirici GRE ve NAT-T ile ne yapar

PPTP klasik suçludur: denetim kanalı TCP 1723, veri yolu ise GRE, yani IP protokolü 47. Birçok tüketici yönlendiricisi tek bir denetim bağlantısını izleyen bir PPTP yardımcısıyla gelir, bu nedenle aynı NAT arkasındaki ikinci istemci kendi denetim kanalını açar ve ardından hiç veri yolu alamaz. Numarası 47 olan bir TCP bağlantı noktasını yönlendirmek GRE için hiçbir şey yapmaz, çünkü GRE bir protokol numarasıdır, port değil.

L2TP IPsec üzerinde tasarım gereği farklı davranır: IKE UDP 500 kullanır, NAT geçişi korunan yükü UDP 4500'e taşır ve kapsülleme tam olarak bir adresin arkasındaki birkaç istemcinin aynı ağ geçidine ulaşabilmesi için vardır. Bu tasarım bir ağ geçidinin veya aradaki kutunun adres başına oturum sınırı koymasını engellemez ve kanepeden bakınca iki arıza aynı görünür. SoftEther'in kendi protokolünde de aynı sınıf sorun vardır: çalışan geçişi olmayan bir yönlendirici yerel ağdan ilk istemciyi içeri alır ve ikincisini düşürür. Yönlendiricinin ALG veya geçiş anahtarını iki konumda da deneyin, çünkü eski bir istemci için yazılmış yardımcı, güncel olanın gönderdiği paketleri bozabilir.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Taşıma sınırlarına benzeyen kimlik sınırları

Yönlendirici tek şüpheli değildir ve günlük onu alternatiften ayırır. Bir OpenVPN sunucusu ortak bir adı tek bir tünel adresine sabitlediğinde iki cihaz da o adresi alır ve duplicate-cn olmadan daha yeni oturum eskisini dışarı iter. Bu seçeneği açmak ikisini de bağlı bırakır ama onlara tek bir kimlik, tek bir sertifika ve tek bir iptal kararı bırakır, bu da göründüğünden kötüdür. İkinci cihaz artık tek başına asla iptal edilemez, bu yüzden bir kolaylık anahtarı daha sonra ihtiyaç duyabileceğiniz bir denetimi sessizce kaldırır.

Sunucunun günlüğünü ve durum dosyasını birlikte okuyun, çünkü biri kimlik doğrulama kararını, diğeri şu anda kimin bağlı olduğunu gösterir. Aynı ortak adı ve tek bir sanal adresi paylaşan iki kayıt, bir yönlendirici sınırını değil, bir kimlik çakışmasını doğrular. Ticari ağ geçitleri kendi sınırlarını ekler; örneğin aynı anda tek oturuma izin veren bir plan, lisans sayısı veya her genel adres için tek oturuma izin veren bir kural, ve hiçbir yönlendirici ayarı bunlardan hiçbirini değiştirmez.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Onarımı günlük kaydıyla eşleştirin

Günlükteki bir ret, cihaz başına ayrı kimlik bilgileri, hizmeti işleten taraftan daha yüksek bir sınır veya tek bir makine için ikinci bir ağ geçidi uç noktası gerektirir. Hiçbir ikinci deneme sunucuya ulaşmıyorsa kalıcı onarım, protokolü ileten ve birden fazla oturum tutan bir yönlendirici ya da yönlendiricinin iyi başa çıktığı bir taşıma, örneğin tek bir TCP veya UDP akışıdır. Aralarında seçim yapmak donanımın ömrüyle ilgili bir karardır, istemci ayarlarıyla ilgili değil.

Çalışan bir cihazın profilini ikinci makineye kopyalayıp işi bitmiş saymayın. Bu, bağlantı sorununu bir erişim denetimi sorununa dönüştürür, çünkü kaybolan bir dizüstü artık kullanımda olan kopyadan ayırt edilemez. Aynı zamanda özgün arızayı gizler, o da üçüncü bir cihaz ortaya çıktığı anda geri döner.

İki canlı oturumu doğrulama

İki cihazı aynı anda bağlayın, her birinde amaçlanan uygulamayı çalıştırın, sonra birini yeniden bağlayın ve tekrarlayın. Kısa süre görünen ikinci bir simge trafik hakkında hiçbir şey kanıtlamaz ve on dakika sonra düşen bir oturum başka sahibi olan başka bir hatadır. Sunucunun sonunda bildirdiğini kullanıcıların gördükleriyle karşılaştırın, çünkü bu iki anlatı çoğu zaman uyuşmaz.

Her iki oturum da hayatta kalır ve trafik taşırsa düzeltme tutar ve başta yazdığınız not neyin yanlış olduğunun kaydı olur. Yalnızca biri hayatta kalırsa ilk adıma dönün ve şimdi günlüğün üç sonucundan hangisine sahip olduğunuzu kontrol edin, çünkü yanıt değişmiş olabilir. Yönlendirici yardımcıları başka bir ağda yeniden ortaya çıkan bir sorunu gizleyebilir, oysa adres başına sınır aygıtı değil kullanıcıyı izler. İkinci bir ağdan test etmek, bunlardan hangisini gerçekten düzelttiğinizi anlamanın en ucuz yoludur.