Nima uchun bitta router orqasida faqat bitta VPN mijozi ulanadi

Ikki noutbuk bitta uy tarmog'ida turadi va ofis VPN'i ulardan faqat bittasini qabul qiladi. Ikkinchisi yoki vaqt tugashiga uchraydi yoki birinchisi uzilguncha kutadi, va ikki urinish orasida hech kim mijoz sozlamasiga tegmagan. Kirish ma'lumotlari bir daqiqa oldin ishlaganlarning aynan o'zi, va bu autentifikatsiya muvaffaqiyatsizlik sababi emasligining belgisidir. Bu naqshni uch mexanizm yaratadi va qaysi biriga duch kelayotganingizni serverning o'z jurnali aytadi.

Mijozga tegishdan oldin shlyuz jurnalini o'qing

Ikki urinish haqidagi server yozuvi birinchi savolga javob beradi va uch yo'ldan biri bilan javob beradi. Agar ikkinchi urinish o'sha jurnalda hech qachon ko'rinmasa, paket tinglovchiga yetib bormagan, va muammo uy routeriga yoki provayder yo'liga tegishli. Agar jurnal urinishni qayd etib uni rad etsa, tunnel yetib kelgan, demak masala identifikatsiya, litsenziya yoki sessiya chegarasida, simdagi biror narsada emas. Agar jurnal muvaffaqiyatli sessiyani qayd etsa-yu mijoz hali ham xatolik haqida xabar bersa, qaytish yo'liga yoki ikki mijozga bir xil tunnel manzili berilayotganiga qarang.

Telefon hotspoti bu oilalarni arzon ajratadi: birinchisi ulangan holda ikkinchi mijozni mobil ma'lumot orqali ishga tushiring. U yerda muvaffaqiyat uy tarmog'iga ishora qiladi, va u yerda o'sha xatolik shlyuzga ishora qiladi, bu esa routerni begunoh qoldiradi. Hech bir natija yolg'iz o'zi hal qiluvchi emas, lekin har biri bir urinishda qidiruv maydonining yarmini olib tashlaydi.

Biror narsani o'zgartirishdan oldin natijani yozib qo'ying, chunki jurnalning uch natijasi uchta aloqasiz ta'mirlashga olib boradi. Uchtadan qaysi birini ko'rganingizni ko'rsatuvchi yozuv mijoz xatosi skrinshotidan qimmatroq.

Router GRE va NAT-T bilan nima qiladi

PPTP klassik aybdor: boshqaruv kanali TCP 1723, ma'lumot yo'li esa GRE, ya'ni IP protokoli 47. Ko'p iste'molchi routerlari bitta boshqaruv ulanishini kuzatadigan PPTP yordamchisi bilan keladi, shuning uchun o'sha NAT orqasidagi ikkinchi mijoz o'z boshqaruv kanalini ochadi va keyin umuman ma'lumot yo'li olmaydi. 47 raqamli TCP portini yo'naltirish GRE uchun hech narsa qilmaydi, chunki GRE port emas, protokol raqami.

L2TP IPsec ustida dizayni bo'yicha boshqacha ishlaydi: IKE UDP 500 dan foydalanadi, NAT o'tishi himoyalangan yukni UDP 4500 ga ko'chiradi, va inkapsulyatsiya aynan bitta manzil orqasidagi bir nechta mijoz bir shlyuzga yetishi uchun mavjud. Bu dizayn shlyuz yoki oraliq qutining har bir manzilga sessiya chegarasi qo'yishiga to'sqinlik qilmaydi, va divandan qaraganda ikkala xatolik bir xil ko'rinadi. SoftEther'ning o'z protokolida ham xuddi shu toifadagi muammo bor: ishlaydigan o'tkazishi yo'q router LAN dan birinchi mijozni kiritadi va ikkinchisini tashlab yuboradi. Routerning ALG yoki o'tkazish kalitini ikkala holatda sinab ko'ring, chunki eski mijoz uchun yozilgan yordamchi hozirgi mijoz yuboradigan paketlarni buzishi mumkin.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Transport chegarasiga o'xshab ko'rinadigan identifikatsiya chegaralari

Router yagona gumondor emas, va jurnal uni alternativadan ajratadi. OpenVPN serveri umumiy nomni bitta tunnel manziliga bog'laganda ikkala qurilma ham o'sha manzilni oladi, va duplicate-cn bo'lmasa yangi sessiya eskisini siqib chiqaradi. O'sha parametrni yoqish ikkalasini ulangan holda qoldiradi, lekin ularni bitta identifikatsiya, bitta sertifikat va bitta bekor qilish qarori bilan qoldiradi, bu ko'ringanidan yomonroq. Shunda ikkinchi qurilmani hech qachon alohida bekor qilib bo'lmaydi, shuning uchun qulaylik kaliti keyinchalik kerak bo'lishi mumkin bo'lgan nazoratni jimgina olib tashlaydi.

Server jurnalini va uning holat faylini birga o'qing, chunki biri autentifikatsiya qarorini, ikkinchisi hozir kim ulanganini ko'rsatadi. Bir xil umumiy nom va bitta virtual manzilni bo'lishadigan ikki yozuv router chegarasini emas, identifikatsiya to'qnashuvini tasdiqlaydi. Tijoriy shlyuzlar o'z chegaralarini qo'shadi, masalan bir vaqtda bitta sessiyaga ruxsat beruvchi tarif, litsenziyalar soni yoki har bir ommaviy manzilga bitta sessiya ruxsat beruvchi qoida, va routerning hech bir sozlamasi ulardan birortasini o'zgartirmaydi.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Ta'mirlashni jurnal yozuviga moslashtiring

Jurnaldagi rad etish har bir qurilma uchun alohida kirish ma'lumotlarini, xizmatni yuritayotgan tomondan yuqoriroq chegarani yoki bitta mashina uchun ikkinchi shlyuz oxirgi nuqtasini talab qiladi. Hech bir ikkinchi urinish serverga yetib bormasa, uzoq muddatli ta'mirlash protokolni o'tkazadigan va bir nechta sessiyani ushlab turadigan router yoki router yaxshi boshqaradigan transport, masalan bitta TCP yoki UDP oqimi. Ular orasida tanlov apparatning umriga oid qaror, mijoz sozlamalariga oid emas.

Ishlayotgan qurilma profilini ikkinchi mashinaga ko'chirib, ishni tugagan deb hisoblamang. Bu ulanish muammosini kirishni nazorat qilish muammosiga aylantiradi, chunki yo'qolgan noutbukni hali ishlatilayotgan nusxadan ajratib bo'lmaydi. Bu asl nuqsonni ham yashiradi, u uchinchi qurilma paydo bo'lgan lahzada qaytadi.

Ikki tirik sessiyani tekshirish

Ikki qurilmani bir vaqtda ulang, har birida ko'zda tutilgan ilovani ishga tushiring, so'ng birini qayta ulang va takrorlang. Bir zum ko'rinadigan ikkinchi belgi trafik haqida hech narsani isbotlamaydi, va o'n daqiqadan keyin tushadigan sessiya boshqa egasi bor boshqa nuqson. Server oxirida nima xabar berishini foydalanuvchilar ko'rgan narsa bilan solishtiring, chunki bu ikki hisobot ko'pincha mos kelmaydi.

Agar ikkala sessiya omon qolsa va trafik tashisa, tuzatish saqlanadi, va boshida yozgan yozuvingiz nima noto'g'ri bo'lganining yozuvi bo'ladi. Agar faqat bittasi omon qolsa, birinchi qadamga qaytib, hozir jurnalning uch natijasidan qaysi biri borligini tekshiring, chunki javob o'zgargan bo'lishi mumkin. Router yordamchilari boshqa tarmoqda qayta ko'rinadigan muammoni yashirishi mumkin, har bir manzilga chegara esa qurilmani emas, foydalanuvchini kuzatadi. Ikkinchi tarmoqdan sinash bu ikkisidan qaysi birini haqiqatan tuzatganingizni bilishning eng arzon yo'li.