VPN tunel se nikad ne povezuje: gdje se paketi zaista zaustavljaju

Klijent stalno pokušava ponovo, zapis se zaustavlja prije završetka rukovanja, a server ne bilježi baš ništa. Taj obrazac skreće pažnju s akreditiva na putanju: nešto između dva kraja odbija prenositi protokol koji tunelu treba. Utvrdite gdje se paketi zaustavljaju prije nego dotaknete bilo koju od dvije konfiguracije, jer filtriran protokol i pogrešna lozinka daju istu ljubaznu grešku u većini klijenata. Testovi su poredani po cijeni, najjeftiniji prvi.

Dokažite gdje se saobraćaj zaustavlja

Snimajte istovremeno na izlaznom interfejsu klijenta i na serveru. Uporedite šta je otišlo s onim što je stiglo i zabilježite u kojem se smjeru razlika pojavljuje.

Ništa na serveru znači da putanja ili prvi NAT odbacuje saobraćaj, dok dolasci bez odgovora upućuju na firewall na serveru ili na povratnu rutu koja ne postoji. Ruter koji često terminira tunele obično ne vodi koristan zapis, pa snimak postaje zapis. Zapišite odredišni port i broj protokola, jer oba kvara izgledaju isto u dijalogu klijenta.

PPTP umire bez protokola 47

PPTP nosi kontrolu na TCP 1723, a podatke unutar GRE, koji je IP protokol 47, a ne broj porta. Prosljeđivanje samo 1723 daje klasičan ishod: veza se autentificira, a zatim utihne, jer ne postoji pravilo za protokol koji nosi korisni teret. Klijent to ne može razlikovati od odbijene lozinke, zato snimak mora doći prije izmjena konfiguracije.

Passthrough radi u suprotnom smjeru od dolaznog prosljeđivanja, a firmware dovoljno često koristi jednu oznaku za oboje da zbuni svakoga. Na Linux klijentu lokalni firewall može odbaciti GRE mnogo prije nego što ruter uopće sudjeluje, pa protokol 47 treba vlastito pravilo i conntrack pomoćnik mora biti učitan. Ubuntuov ufw drži ta pravila u datoteci before, jer obična allow pravila ne mogu izraziti broj protokola. Nakon toga ponovo učitajte firewall umjesto da restartujete mašinu.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP i IPsec iza dva NAT-a

L2TP unutar IPsec-a treba UDP 500 za razmjenu ključeva, UDP 4500 kada se otkrije NAT i ESP kao protokol 50. Svaki od njih se filtrira nezavisno, pa pravilo koje dopušta jedan ne dokazuje ništa o druga dva. Dva rutera u nizu prevode svaki paket dvaput i krajnje točke se više ne slažu oko toga šta je dogovoreno.

Prebacite vanjski modem u bridge način ili isključite NAT na unutrašnjem ruteru, kako bi javna adresa stigla do uređaja koji terminira tunel. Gdje nijedno nije moguće, tunel se mora inicirati iz unutrašnjosti granice dvostrukog NAT-a, a ne tamo terminirati.

Mreže operatera i dijeljenje adresa

WAN adresa unutar 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 ili 100.64.0.0/10 znači da ruter nema javnu adresu i nijedno dolazno prosljeđivanje s interneta ne može do njega doći. NAT na razini operatera dodatno filtrira protokole koje ne očekuje, a GRE je česta žrtva na mobilnim vezama. Uporedite WAN adresu na samom ruteru, a ne adresu koju stranica za provjeru prijavljuje za klijenta iza njega.

Pokretanje istog rutera na žičanoj liniji razdvaja nalaz o operateru od greške u konfiguraciji jednim testom. Gdje operater odbija protokol, preostaju opcije drugi transport na 443 ili tunel iniciran iznutra.

Pročitajte listu slušalaca prije nego zatvorite portove

Alarmantan sken portova često je samo skup funkcija koje se isporučuju uključene. Popišite slušaoce, povežite svaki socket s funkcijom, a zatim isključite funkciju umjesto da blokirate port, kako se dva prikaza ne bi razišla.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

SoftEtherovi zadani parametri su dobar primjer: TCP 443, 992 i 5555, pri čemu funkcije L2TP/IPsec i DNS tunela dodaju vlastite sockete. Isključivanje tih funkcija uklanja slušaoce umjesto da ih skriva, a provjera s vanjskog hosta kaže vam pušta li operater port uopće. Slušalac koji odgovara lokalno i dalje može biti zatvoren uzvodno, pa uporedite ruterovu vlastitu WAN adresu s onim što prijavljuje vanjska usluga.