【每日一记8】+第1天+远程VPN连接失败处置
  

剰悇の迗眞 1369

{{ttag.title}}
在一个项目中遇到这个问题,客户端PC1通过互联网远程登录VPN时,每次都能够正常访问,但客户端PC2在登录远程VPN时,经常不能成功连接。针对这一现象,部署科来网络回溯分析系统分别采集客户端PC1、客户端PC2及负载均衡上连防火墙的链路流量。远程VPN地址为:X.X.242.94。下图为客户公司的简易部署图。


故障分析:

客户端PC1:
客户端PC1在任何时段都能够正常连接远程VPN,所以首先抓取客户端PC1的数据进行分析:(圆框遮挡处为客户端PC1地址,方框为VPN地址)
如上图所示,红框处三个包为ISAKMP协议,VPN使用的是主动模式,其主要作用是定义VPN封装格式和协商包交换的方式。第一个包为客户端PC1向VPN地址发起连接,第二个包为VPN地址发送给客户端PC1,第三个包为客户端PC1向VPN地址发送完成ISAKMP协议协商(由于VPN使用NAT Traversal技术所以第三个包开始就使用UDP 4500端口)。
经过上述步骤,一个VPN会话连接就能够被正常的建立。所以客户端PC1能够一直正常的与远程VPN连接。
客户端PC2:
客户端PC2在连接远程VPN时,有时能够正常连接,有时很多次连接都会失败,所以在来抓取客户端PC2的数据进行分析:(圆框遮挡处为客户端PC1地址,方框为VPN地址)
如上图,客户端PC2连接不上VPN时,数据包全部是有客户端PC2向VPN地址发起的第一个ISAKMP包,每隔5秒发送一次,共发送4次。
通过该现象分析,怀疑是由于内部网络设备或互联网丢包造成数据包没有到达远程VPN,另一种可能是远程VPN收到数据包并发出回应,但回应数据包丢包。
为了验证分析,在负载均衡上联接口进行抓包分析:
在负载均衡前抓包,正常连接时能够抓包情况与客户端PC1一致,但不能连接VPN时,从抓包点位置不能抓到ISAKMP请求数据包。
结合客户端PC2抓包情况来看,客户端PC2发送了ISAKMP第一个包,但通过了负载均衡之后我们抓不到此包,说明此数据包可能被负载均衡设备丢弃或发送到错误的链路上。
分析结论:通过上述分析,可以判断在发生VPN连接问题时客户端PC2正常发送了VPN请求包,但通过负载均衡设备后,此包并没有出现在正确的链路上,建议用户对负载均衡设备进行排查,检测是否存在丢包或将此包发送到错误的链路的情况。

打赏鼓励作者,期待更多好文!

打赏
3人已打赏

蟲爺 发表于 2021-6-12 00:34
  
感谢分享
司马缸砸了光 发表于 2021-4-11 11:13
  
打赏学习,干货满满.
新手486484 发表于 2020-7-29 21:57
  
感谢分享
新手447211 发表于 2020-7-12 14:34
  
感谢分享,向大佬学习
新手780102 发表于 2020-6-14 21:39
  

感谢分享
新手978513 发表于 2020-6-14 21:22
  
感谢分享
新手517842 发表于 2020-6-14 21:15
  

感谢分享
新手031815 发表于 2020-6-14 21:07
  
感谢分享
暖暖的毛毛 发表于 2020-6-13 14:30
  

感谢大神分享
发表新帖
热门标签
全部标签>
每日一问
每周精选
技术笔记
技术盲盒
2024年技术争霸赛
产品连连看
2023技术争霸赛专题
干货满满
技术咨询
标准化排查
通用技术
技术晨报
新版本体验
功能体验
秒懂零信任
自助服务平台操作指引
文档捉虫活动
信服课堂视频
GIF动图学习
答题自测
每日一记
运维工具
SDP百科
技术圆桌
排障笔记本
专家问答
在线直播
安装部署配置
测试报告
解决方案
项目案例
存储
技术争霸赛
卧龙计划
畅聊IT
MVP
网络基础知识
升级
安全攻防
上网策略
日志审计
问题分析处理
流量管理
云计算知识
用户认证
原创分享
sangfor周刊
VPN 对接
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
迁移
加速技术
产品预警公告
玩转零信任
信服圈儿
S豆商城资讯
「智能机器人」
追光者计划
深信服技术支持平台
社区帮助指南
答题榜单公布
纪元平台
华北区拉练
天逸直播
以战代练
山东区技术晨报
齐鲁TV
华北区交付直播
北京区每日一练

本版版主

12
185
6

发帖

粉丝

关注

本版达人

LoveTec...

本周分享达人

新手24116...

本周提问达人