Client L2TP thứ hai giết client thứ nhất? Hãy đọc phần đóng gói

Một laptop giữ một đường hầm đang hoạt động qua router của văn phòng. Laptop thứ hai trong cùng phòng kết nối, và chiếc thứ nhất rớt mạng. Nếu đó là toàn bộ triệu chứng, vẫn còn ba nguyên nhân khác nhau trên bàn, và cách sửa nào áp dụng phụ thuộc vào những điều bạn chưa đo. Router dùng chung có liên quan, nhưng không tự động có tội, và giao thức cũng vậy.

Ba nguyên nhân trông giống hệt nhau từ ghế sofa

Ứng viên đầu tiên là cách router xử lý IPsec. Router tiêu dùng giá rẻ thường quảng cáo tính năng xuyên qua và chỉ triển khai cho một client tại một thời điểm, vì cơ chế chỉ theo dõi một đối tác và không thể tách hai laptop phía sau cùng một địa chỉ công cộng. Triệu chứng đúng như bạn mong đợi: phiên mới hơn thắng.

Nguyên nhân thứ hai là tài khoản. Nhiều máy chủ VPN cho phép một phiên cho mỗi danh tính và ngắt phiên cũ hơn khi cùng thông tin đăng nhập xác thực lại, đó là quyết định chính sách ở cổng và không liên quan gì đến router của bạn. Hãy tìm thông báo rõ ràng đó trong nhật ký máy chủ trước khi mua phần cứng.

Nguyên nhân thứ ba là cấu hình sai đơn giản: hai hồ sơ trỏ đến cùng một danh tính, một trong số đó có khóa chia sẻ trước đã lỗi thời hoặc chứng chỉ mà cổng không còn chấp nhận. Trường hợp đó thường xuất hiện như kết nối thứ hai thất bại thay vì chiếc thứ nhất rớt, nên hình dạng của lỗi đã nói với bạn điều gì đó.

L2TP/IPsec thực sự gửi gì qua router

IKE chạy trên UDP 500. Đường dữ liệu là ESP, đây là giao thức IP 50 và hoàn toàn không mang cổng TCP hay UDP nào. Vì vậy router chỉ hiểu cổng thì không có gì để bám vào, và đó chính là lý do cơ chế xuyên qua tồn tại.

Với NAT traversal, ESP được đóng gói bên trong UDP 4500. Giờ router có cổng nguồn để ánh xạ, và mỗi laptop nhận bản dịch của riêng mình, nên cổng có thể phân biệt hai luồng. Đây là cơ chế khiến nhiều client phía sau một địa chỉ hoạt động được.

Sự khác biệt này quan trọng khi bạn đọc danh sách tính năng của router. Nhãn ghi xuyên qua IPsec cho bạn biết nhà sản xuất có một cơ chế nào đó; nó không cho biết cơ chế đó có hỗ trợ nhiều client hay hành xử thế nào khi chiếc thứ hai đến.

Tài liệu của strongSwan về NAT traversal mô tả chính việc đóng gói, và đó là phần bạn có thể kiểm chứng từ bắt gói tin thay vì từ một trang tiếp thị.

Làm sao biết nguyên nhân nào thực sự là của bạn

Thực hiện bốn quan sát và ghi lại từng kết quả. Từng laptop một mình: có hoạt động không, và trong bao lâu? Cả hai cùng lúc: chiếc nào sống sót? Laptop thứ hai trên hotspot điện thoại: chiếc thứ nhất có đứng vững không? Và ở cổng: nhật ký máy chủ có hiển thị phiên mới thay thế phiên cũ, hay hiển thị một client chỉ im lặng?

Những câu trả lời đó tách các ứng viên một cách rõ ràng. Thông báo thay thế trong nhật ký máy chủ chỉ về chính sách danh tính. Một client ngừng nhận lưu lượng trong khi router hiển thị bản dịch mới chỉ về router. Hai client đều không hoàn tất IKE chỉ về cấu hình hoặc thông tin đăng nhập.

Giữ nguyên các hồ sơ trong suốt quá trình. Đổi hồ sơ giữa các lần kiểm tra nghĩa là bạn đang đo hai biến cùng lúc, và kết luận sẽ sai theo cách rất khó nhận ra.

Bắt gói trên router nếu nó hỗ trợ, hoặc trên một laptop trong khi chiếc kia kết nối. Thấy gói của client thứ hai xuất hiện trong khi gói của chiếc thứ nhất dừng lại là bằng chứng mạnh hơn bất kỳ biểu tượng kết nối nào.

Nếu router là giới hạn

Dùng cấu hình đa client đã được nhà sản xuất ghi lại nếu có, hoặc thay thiết bị bằng một chiếc mà tài liệu của nó nói đúng điều bạn cần. Đó là câu trả lời không hào nhoáng và là câu trả lời duy nhất sống sót qua một lần cập nhật firmware.

Điều không hiệu quả là thêm hai chuyển tiếp vào giống hệt nhau tới hai laptop khác nhau. Chuyển tiếp nói cho router biết gửi lưu lượng đến đi đâu; nó không nói gói thuộc luồng nào trong hai luồng đang hoạt động, và sự mơ hồ đó chính là lỗi.

Nếu không thể thay router, hãy đặt một client phía sau một đường khác. Hotspot điện thoại là giải pháp lâu dài tồi và là giải pháp chẩn đoán hoàn toàn tốt.

Nếu cổng là giới hạn

Cấp danh tính riêng cho người riêng. Một tài khoản dùng chung cho hai laptop chính là cách sắp xếp tạo ra triệu chứng này trên các máy chủ được cấu hình cho một phiên, và không cấu hình cục bộ nào sửa được quyết định đưa ra ở đầu bên kia.

Hỏi chủ sở hữu cổng xem chính sách nào áp dụng: một phiên mỗi tài khoản, một phiên mỗi chứng chỉ, hay không giới hạn. Câu trả lời của họ quyết định bạn cần thông tin đăng nhập mới hay router mới.

Việc xác minh là phần mọi người bỏ qua. Chạy lưu lượng hữu ích từ cả hai client lâu hơn khoảng thời gian từng thất bại, vì hai lần đăng nhập thành công chỉ chứng minh rằng xác thực đã hoạt động một lần ở mỗi bên.