Mae PPTP yn cysylltu ac yna’n hongian y tu ôl i Linux NAT: y cymorth GRE

Mae rhywun yn anfon 1723 ymlaen, mae’r cleient yn cyrraedd y gweinydd, mae dilysu’n dechrau, ac yna mae popeth yn stopio heb wall. Y casgliad naturiol yw cyfrinair anghywir, felly mae’r cyfrinair yn cael ei ail-deipio deirgwaith. Roedd yr anfon ymlaen yn iawn ac roedd y manylion yn iawn. Yr hyn a dorrodd yw ail brotocol na chafodd ei gynnwys gan yr anfon ymlaen erioed, a gosodiad diofyn cnewyllyn a beidiodd yn dawel â helpu gydag ef.

Nid yr anfon ymlaen oedd y broblem erioed

Mae rheol anfon ymlaen porthladd yn disgrifio traffig TCP neu UDP. Ni all ddisgrifio llwyth sy’n newid i brotocol IP arall hanner ffordd trwy sesiwn, ac mae PPTP yn gwneud yn union hynny.

Dyna pam mae’r cysylltiad yn edrych yn iach hyd at y foment y mae’n hongian. Llwyddodd y rhan y gall rheol porthladd ei llywodraethu, a’r rhan na all ei llywodraethu yw’r rhan a fethodd.

TCP ar gyfer rheoli, GRE ar gyfer data

Mae’r alwad yn cael ei negodi dros TCP 1723. Unwaith y bydd i fyny, mae’r llwyth yn symud i GRE, protocol IP 47, nad yw’n cario unrhyw rifau porthladd o gwbl. Nid oes gan reol sy’n dibynnu ar borthladdoedd ddim i’w gydweddu.

Yr hyn y mae GRE yn ei gario yw dynodydd alwad yn ei bennawd, a rhaid i’r cyfieithydd NAT ailysgrifennu’r maes hwnnw’n gyson yn y ddau gyfeiriad neu mae dwy hanner y sesiwn yn peidio â chytuno â’i gilydd. Mae un cyfeiriad wedi’i ailysgrifennu a’r llall heb ei wneud yn cynhyrchu sesiwn sy’n dilysu ac yna’n taflu pob pecyn data. Dyna’n union siâp y symptom: llwyddiant, yna distawrwydd.

Nid oes angen ailysgrifennu o’r fath ar GRE noeth heb PPTP, a dyna pam y gall twnnel GRE plaen weithio trwy lwybrydd sy’n methu ar gyfer cleient PPTP ar yr un llwybr.

Pedwar modiwl a sysctl a’u diffoddodd

Mae dau fodiwl yn trin y fframio, nf_conntrack_proto_gre a nf_nat_proto_gre. Mae dau arall yn trin y dynodydd alwad, nf_conntrack_pptp a nf_nat_pptp. Mae llwytho’r olaf o’r rhain yn tynnu’r gweddill i mewn trwy ddibyniaethau, felly dylai rhestr modiwlau ddangos y pedwar.

Mae cyfarwyddiadau hŷn yn defnyddio rhagddodiad ip_ o gyfnod 2.6. Gall y gorchmynion hyn ymddangos fel pe baent yn rhedeg heb lwytho dim, felly gwiriwch y rhestr a lwythwyd yn hytrach na’r statws gadael.

Nid yw eu cael wedi’u llwytho yn ddigon mwyach. Ers Linux 4.7 mae sysctl net.netfilter.nf_conntrack_helper yn rhagosodedig i 0, sy’n analluogi aseinio cymorth awtomatig ar gyfer llifau newydd. Gall llwybrydd fod â phob modiwl ac eto beidio â chyfieithu dim. Gwiriwch y gwerth effeithiol cyn edrych ar y rhestr modiwlau eto.

Naill ai trowch aseinio awtomatig yn ôl ymlaen yn fyd-eang, neu atodwch y cymorth i’r llifau sydd ei angen a gadewch bopeth arall yn llonydd:

iptables -t raw -A PREROUTING -p tcp --dport 1723 -j CT --helper pptp

Yr ail opsiwn yw’r un i’w ffafrio. Mae’n cyfyngu’r ymddygiad i draffig PPTP yn lle ail-alluogi aseinio awtomatig ar draws y llwybrydd.

Agor protocol nad oes ganddo borthladdoedd

Nid yw rheol wal dân sy’n caniatáu 1723 yn dweud dim am brotocol 47. Ar firewalld, caniathewch y protocol ar y parth sy’n wynebu’r cleient. Ar iptables plaen, derbyniwch brotocol gre yn y gadwyn fewnbwn.

Yna cipiwch ar y ddwy ochr. Mae pecynnau’n gadael y cleient heb atebion yn cyrraedd yn golygu bod y llwybr dychwelyd wedi’i hidlo, ac mae hynny’n fai gwahanol i ddilysiad a wrthodwyd.

Ar ôl iddo gysylltu, y terfyn maint

Mae GRE yn mewnosod pennawd, ac mae PPP y tu mewn yn ychwanegu mwy, felly mae cyswllt gweithredol yn adrodd MTU ymhell o dan 1500. Mae ymatebion bach yn llwytho ac mae rhai mawr yn aros, sy’n edrych fel ail broblem annibynnol yn ymddangos yr union foment y caiff y gyntaf ei datrys.

Darllenwch yr MTU ar addasydd PPP y cleient a chymodwch hi â chyfrifiad y llwybrydd ei hun yn lle gostwng rhifau nes bod rhywbeth yn gweithio. Mae pecynnau maint llawn yn gadael heb ddim yn dod yn ôl yn cyfeirio at y terfyn hwnnw yn hytrach nag at y cyfieithiad.

Mae trwsio’r llwybr yn cael y defnyddiwr i weithio, ac nid yw’n gwneud PPTP yn ddewis da. Mae MS-CHAPv2 a RC4 wedi hen ddarfod, felly triniwch lwytho’r modiwl fel atgyweiriad dros dro a chynlluniwch symud i brotocol a gynhelir.