L2TP/IPsec kết nối được ở mạng này nhưng hết thời gian chờ ở mạng khác

Cùng một laptop, cùng một hồ sơ và cùng một mật khẩu hoạt động trong một tòa nhà và thất bại ở tòa nhà khác. Phép so sánh đó là bằng chứng hữu ích nhất trong phiếu hỗ trợ, và nó thường là thứ đầu tiên bị bỏ đi. Giữa hai mạng truy cập, quá trình trao đổi đi qua một kiểu dịch địa chỉ khác, bộ lọc khác và trình trợ giúp router khác. Giữ nguyên máy khách và chỉ thay đổi mạng là cách để tìm ra yếu tố nào trong số đó quan trọng.

Cố định máy khách trước khi so sánh các mạng

Đừng thay đổi gì trên thiết bị cho đến khi bạn có bản ghi về trường hợp hoạt động: phiên bản máy khách, nội dung hồ sơ, tên máy chủ và thời điểm kết nối thành công. Sau đó tái hiện lỗi ở mạng thứ hai trong cùng phiên, để trạng thái máy khách giống hệt nhau nhất có thể. Một hồ sơ bị chỉnh sửa giữa hai lần thử sẽ vô hiệu hóa toàn bộ phép so sánh. Mục tiêu là một biến duy nhất, và biến đó là mạng.

Trước hết hãy xác nhận quyền truy cập internet thông thường trên mạng đang lỗi, kể cả cổng khách nếu có. Một cổng chưa từng được đáp ứng sẽ tạo ra thời gian chờ trông giống hệt một đường hầm bị lọc, và việc kiểm tra đó mất một phút.

Bốn giai đoạn, bốn thông báo lỗi khác nhau

Một kết nối L2TP/IPsec đi qua bốn giai đoạn, và RFC 3193 mô tả cách sắp xếp gắn kết hai giai đoạn đầu. Thương lượng IKE là nơi một đường đi bị lọc tạo ra thời gian chờ im lặng. Xác thực IPsec là nơi sự không khớp về chứng chỉ hoặc khóa chia sẻ trước lại tạo ra một sự từ chối rõ ràng. Việc thiết lập đường hầm L2TP là nơi một hiệp hội bảo mật đã được thiết lập vẫn có thể không dẫn đến đâu, và đăng nhập PPP là nơi một thông tin đăng nhập sai cuối cùng tạo ra lỗi nhìn thấy được. Hãy đọc nhật ký cho giai đoạn đã dừng, không phải dòng cuối cùng được in ra.

journalctl -u strongswan --since '-5 min' | tail -20
journalctl -u xl2tpd --since '-5 min' | tail -20
ip -4 route get 198.51.100.10

Nhật ký strongSwan cho biết quá trình trao đổi IKE có đạt tới một đề xuất hay không và máy ngang hàng có trả lời hay không, điều này tách khả năng tiếp cận khỏi chính sách. Nhật ký xl2tpd tiếp nối nơi IPsec kết thúc, vì vậy một hiệp hội bảo mật đã được thiết lập mà không có gì trong nhật ký đó cho thấy giai đoạn L2TP. Truy vấn tuyến đường xác nhận máy khách đang gửi tới địa chỉ máy chủ mà bạn nghĩ, điều này bắt được một câu trả lời DNS cũ kế thừa từ mạng trước. Cùng với nhau, ba đầu ra đặt tên cho một giai đoạn thay vì một triệu chứng.

So sánh độ sâu NAT và hành vi của trình trợ giúp

Việc xuyên NAT chuyển lưu lượng được bảo vệ sang đóng gói UDP khi phát hiện dịch địa chỉ, vì vậy các số cổng mang một phiên đang hoạt động có thể khác với các số trong sơ đồ tĩnh. Việc cho phép một gói thiết lập không chứng minh được gì về phần còn lại của quá trình trao đổi, và quét cổng bên ngoài không thể cho bạn biết máy ngang hàng xử lý lưu lượng đã xác thực hợp lệ như thế nào. Lớp dịch thứ hai lại thay đổi bức tranh, vì ánh xạ giờ tồn tại hai lần và hết hạn theo hai lịch khác nhau. Dịch địa chỉ cấp nhà mạng trên một kết nối di động là lý do thường gặp khiến một hồ sơ văn phòng đang hoạt động thất bại trên hotspot điện thoại.

Các trình trợ giúp router khác nhau nhiều như các mạng. Một số firmware chặn và viết lại quá trình trao đổi, số khác chỉ ngừng bỏ nó đi, và số khác chỉ áp dụng cài đặt trong một chế độ cũ. Hãy đọc mô tả của chính firmware về hộp kiểm, và nơi có chế độ tương thích, hãy thử nó như một thay đổi có chủ đích thay vì ba thay đổi cùng lúc.

Máy khách gửi đi, máy chủ nhận vào: hai vấn đề khác nhau

Máy khách gửi đi và máy chủ nhận vào cần khả năng tiếp cận thượng nguồn khác nhau, và một tính năng xuyên qua giúp máy thứ nhất không làm gì cho máy thứ hai. Một router gia đình cho phép laptop tiếp cận một cổng từ xa không vì thế mà chấp nhận các kết nối đi vào tới một máy chủ phía sau nó. Nhầm lẫn hai thứ sẽ khiến bạn đi tìm chuyển tiếp cổng vốn chưa bao giờ là vấn đề. Hãy nêu rõ thiết bị đang lỗi giữ vai trò nào trước khi so sánh bất cứ điều gì.

Sau một thay đổi được hỗ trợ, hãy lặp lại cùng kết nối và ghi lại giai đoạn nó đạt được. Giữ hồ sơ đang hoạt động và ghi chú về mạng đang lỗi cùng nhau, và đừng đặt lại thông tin đăng nhập hay cài lại máy khách, vì điều đó vứt bỏ bằng chứng mà phép so sánh được xây dựng trên đó.