L2TP/IPsec bir tarmoqda ulanadi, boshqasida vaqt tugaydi

Xuddi shu noutbuk, xuddi shu profil va xuddi shu parol bir binoda ishlaydi, boshqasida muvaffaqiyatsiz bo'ladi. Bu taqqoslash chiptadagi eng foydali dalil bo'lib, odatda birinchi bo'lib tashlanadigan narsadir. Ikki kirish tarmog'i o'rtasida almashinuv boshqa manzil tarjimasi, boshqa filtrlar va boshqa marshrutizator yordamchilaridan o'tadi. Mijozni o'zgarmas holda saqlab, faqat tarmoqni almashtirish ulardan qaysi biri muhimligini aniqlash yo'lidir.

Tarmoqlarni solishtirishdan oldin mijozni qotirib qo'ying

Ishlaydigan holat yozuviga ega bo'lmaguningizcha qurilmada hech narsani o'zgartirmang: mijoz versiyasi, profil mazmuni, server nomi va muvaffaqiyatli ulanish vaqti. Keyin nosozlikni ikkinchi tarmoqda xuddi shu sessiyada takrorlang, shunda mijoz holati iloji boricha bir xil bo'lsin. Ikki urinish orasida tahrirlangan profil butun taqqoslashni bekor qiladi. Maqsad bitta o'zgaruvchi va bu o'zgaruvchi tarmoqdir.

Avval nosoz tarmoqda oddiy internet kirishini tasdiqlang, agar mavjud bo'lsa, mehmon portali ham. Hech qachon bajarilmagan portal xuddi filtrlangan tunnelga o'xshab ko'rinadigan vaqt tugashini keltirib chiqaradi va bu tekshiruv bir daqiqa oladi.

To'rt bosqich, to'rt xil xato xabari

L2TP/IPsec ulanishi to'rt bosqichdan o'tadi va RFC 3193 birinchi ikkitasini bog'laydigan tuzilmani tavsiflaydi. IKE muzokaralari filtrlangan yo'l jim vaqt tugashini keltirib chiqaradigan joydir. IPsec autentifikatsiyasi sertifikat yoki oldindan bo'lishilgan kalit nomuvofiqligi o'rniga aniq rad etishni keltirib chiqaradigan joydir. L2TP tunnelini o'rnatish allaqachon o'rnatilgan xavfsizlik assotsiatsiyasi baribir hech qayerga olib bormasligi mumkin bo'lgan joydir va PPP kirishi noto'g'ri hisob ma'lumoti nihoyat ko'rinadigan nosozlikni keltirib chiqaradigan joydir. To'xtagan bosqichning jurnalini o'qing, chop etilgan oxirgi satrni emas.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

strongSwan jurnali IKE almashinuvi taklifga yetgan-yetmaganini va qarshi tomon umuman javob bergan-bermaganini ko'rsatadi, bu esa yetib borishni siyosatdan ajratadi. xl2tpd jurnali IPsec tugaydigan joydan davom etadi, shuning uchun o'sha jurnalda hech narsa bo'lmagan o'rnatilgan xavfsizlik assotsiatsiyasi L2TP bosqichiga ishora qiladi. Marshrut so'rovi mijoz siz o'ylagan server manziliga yuborayotganini tasdiqlaydi va oldingi tarmoqdan meros qolgan eskirgan DNS javobini ushlaydi. Birgalikda, uchta chiqish simptom o'rniga bosqichni nomlaydi.

NAT chuqurligini va yordamchining xatti-harakatini solishtiring

NAT o'tishi himoyalangan trafikni UDP inkapsulyatsiyasiga o'tkazadi tarjima aniqlanganda, shuning uchun ishlaydigan sessiyani olib yuruvchi port raqamlari statik diagrammadagilardan farq qilishi mumkin. Bitta sozlash paketiga ruxsat berish almashinuvning qolgan qismi haqida hech narsani isbotlamaydi va tashqi port skaneri qarshi tomonning haqiqiy autentifikatsiya qilingan trafikka qanday munosabatda bo'lishini sizga ayta olmaydi. Ikkinchi tarjima qatlami manzarani yana o'zgartiradi, chunki xaritalash endi ikki marta mavjud va ikki xil jadval bo'yicha tugaydi. Mobil ulanishda operator darajasidagi tarjima ishlaydigan ofis profili telefon hotspotida muvaffaqiyatsiz bo'lishining odatiy sababidir.

Marshrutizator yordamchilari tarmoqlar kabi farq qiladi. Ba'zi firmware almashinuvni ushlab, qayta yozadi, ba'zilari shunchaki uni tashlashni to'xtatadi, ba'zilari esa sozlamani faqat eski rejimda qo'llaydi. Firmware-ning tasdiqlash katagi haqidagi o'z tavsifini o'qing va muvofiqlik rejimi mavjud bo'lsa, uni bir vaqtning o'zida uchta emas, bitta ongli o'zgarish sifatida sinab ko'ring.

Chiquvchi mijoz, kiruvchi server: ikki xil muammo

Chiquvchi mijoz va kiruvchi server turli yuqori oqim yetib borishiga muhtoj va birinchisiga yordam beradigan o'tish funksiyasi ikkinchisi uchun hech narsa qilmaydi. Noutbukning uzoq shlyuzga yetishiga imkon beradigan uy marshrutizatori shu bilan uning orqasidagi serverga kiruvchi ulanishlarni qabul qilmaydi. Ikkalasini aralashtirish sizni hech qachon muammo bo'lmagan port yo'naltirishini izlashga yuboradi. Biror narsani solishtirishdan oldin nosoz qurilma qanday rol o'ynashini ayting.

Qo'llab-quvvatlanadigan o'zgarishdan keyin xuddi shu ulanishni takrorlang va erishilgan bosqichni yozib oling. Ishlaydigan profilni va nosoz tarmoq haqidagi eslatmani birga saqlang, hisob ma'lumotlarini qayta o'rnatmang va mijozni qayta o'rnatmang, chunki bu taqqoslash asoslangan dalilni tashlab yuboradi.