Gweinydd PPTP y tu ôl i rwter cartref: trwsiwch 1723 a GRE yn gyntaf

Mae PPTP y tu ôl i rwter cartref yn methu mewn dwy ffordd annibynnol, ac mae cymysgu'r ddwy yn gwastraffu noson. Un methiant yw bwlch anfon: mae'r rwter yn pasio TCP 1723 ac yn gollwng protocol IP 47, felly mae'r cleient yn hongian ar wall 619. Y llall yw problem maint: mae'r tiwnel yn codi, yn dilysu, ac yna'n rhewi pan fo'n rhaid i becyn maint llawn groesi. Gweithio allan pa un o'r ddau sydd gennych yw'r cam cyntaf go iawn; mae'r gweddill yn cymharu'r hyn y gall eich rwter ei fynegi, nid pa frand sy'n well.

Dau gludydd, a dim ond un ohonynt â phorth

Mae PPTP yn rhannu ar draws dau gludydd: cysylltiad rheoli ar TCP 1723, a fframiau PPP wedi'u lapio mewn GRE estynedig, sef protocol IP 47. Nid oes gan GRE rif porth, felly ni all rheol a ysgrifennwyd fel anfon porth 1723 ei chwmpasu hi, waeth sut mae'r rhyngwyneb gwe yn geirio'r maes. Mae rwter cartref fel arfer yn cynnig blwch ticio o'r enw pasio PPTP yn lle rheol protocol, ac mae'r blwch hwnnw'n gwneud dwy waith: mae'n caniatáu protocol 47 drwy'r mur tân, ac mae'n dysgu NAT sut i olrhain llif GRE. Ar rwter Linux mae'r gwaith hwnnw'n fodiwlau ar wahân ac yn rheolau ar wahân, a dyna pam mae pasio hanner ffurfweddedig yn dal i gynhyrchu sianel reoli sy'n gweithio. Darganfyddwch pa hanner sydd yno cyn newid unrhyw beth.

Rhaid i fur tân y gweinydd ei hun ganiatáu protocol 47 o gyfeiriad y rwter hefyd. Mae mur tân gwesteiwr sy'n derbyn 1723/tcp yn unig yn atgynhyrchu gwall 619 o fewn y LAN, sy'n golygu bod anfon wedi torri a rheol gwesteiwr wedi torri yn edrych yn union yr un fath.

sudo iptables -S FORWARD | grep -i gre
sudo nft list ruleset | grep -i gre
lsmod | grep -E 'nf_conntrack_proto_gre|nf_nat_proto_gre'

Os yw'r modiwlau ar goll, llwythwch nhw gyda sudo modprobe nf_conntrack_proto_gre nf_nat_proto_gre a gwnewch y llwythiad yn barhaol, oherwydd mae ailgychwyn sy'n anghofio'r helpwr yn troi tiwnel sy'n gweithio yn ôl yn wall 619. Dim ond tuag at gyfeiriad y gweinydd y mae angen i'r rheol anfon dderbyn protocol 47, nid y LAN gyfan. Mae diffiniad RFC 2637 yn gwahanu'r llwybrau rheoli a data, a dyna pam nad oes unrhyw sgrin anfon porth yn disgrifio PPTP yn llwyr.

Blwch ticio pasio neu reol protocol benodol

Mae blwch ticio pasio nad yw ond yn agor y mur tân yn agosach at gywir na ALG sy'n ailysgrifennu dynodwyr galwadau. Mae'r hanner mur tân yn rhagweladwy, gan fod protocol 47 naill ai'n cael ei dderbyn neu'n cael ei ollwng, ac mae'r cownteri'n dweud pa un. Yr hanner ailysgrifennu yw'r lle mae gwerthwyr yn gwahaniaethu, oherwydd mae dynodwyr galwadau PPTP yn un i bob tiwnel a rhaid i NAT sy'n eu golygu olrhain pob galwad y mae'n ei chyffwrdd. Pan fydd un cleient yn cysylltu a dau ddim, yr ALG yw'r prif amheuaeth.

Mae rheol NAT cyrchfan ar gyfer 1723 hefyd yn dwyn problem perchnogaeth. Os yw hen reol yn dal i anfon 1723 at westeiwr a stopiodd redeg y gweinydd, mae pecynnau'n glanio ar borth caeedig ac mae gwasanaeth PPTP y rwter ei hun yn stopio ateb, sy'n darllen fel methiant mur tân ond mewn gwirionedd yn darged hen. Darllenwch y rheol a'i chyrchfan cyn ychwanegu un arall. Ar rwteri sy'n terfynu PPTP eu hunain, mae rheol WAN yn cystadlu â'r gwasanaeth adeiledig, felly dewiswch un perchennog ar gyfer 1723 a protocol 47.

Dau gleient y tu ôl i'r un NAT yw'r achos sy'n gwahanu anfon plaen oddi wrth un clyfar. Mae anfon protocol 47 heb ailysgrifennu dynodwyr galwadau fel arfer yn ymddwyn yn well na helpwr sy'n ceisio eu trwsio.

Mesurwch y tiwnel cyn beio'r rwter

Mae PPTP yn crebachu'r llwyth defnyddiadwy, ac mae'r crebachiad yn rhifyddeg yn hytrach na dirgelwch. Mae pob pecyn tiwnel yn cario pennawd IP allanol, pennawd GRE estynedig, pennawd PPP ac, gydag amgryptio, pennawd MPPE. Pan na all y llwybr gario'r ffrâm sy'n deillio, mae pecynnau bach yn pasio, mae'r mewngofnodi'n cwblhau, ac mae'r sesiwn yn aros y tro cyntaf y bydd trosglwyddiad ffeil neu ysgwyd llaw TLS yn anfon pecyn maint llawn.

Cyfrifwch y rhif yn lle ei ddyfalu. Mae GRE estynedig yn costio 8 beit, mae PPP yn costio 4, mae MPPE yn costio 4, ac mae'r pennawd IP allanol yn costio 20, felly mae'r tiwnel yn bwyta 36 beit cyn unrhyw lwyth. Ar WAN PPPoE sy'n gorffen ar 1492, yr MTU PPP mwyaf sy'n mynd i mewn yw 1492 minws 36, sef 1456. Gosodwch mtu a mru i'r gwerth hwnnw yn opsiynau PPP a phrofwch eto gyda phing nad yw'n darnio.

ping -M do -s 1464 198.51.100.7
grep -E '^(mtu|mru)' /etc/ppp/options.pptpd

Mae'r ping yn mesur y llwybr, nid y tiwnel: mae 1464 beit o lwyth ynghyd â 28 beit o benawdau IP ac ICMP yn llenwi ffrâm 1492 beit yn union. Os yw'r ping hwnnw'n methu, gostyngwch y rhif nes iddo basio a thynnwch 36 o'r canlyniad. Mae MTU tiwnel a osodwyd uwchben terfyn y llwybr yn cynhyrchu'r rhewi heb unrhyw linell log sy'n sôn am faint o gwbl.

PPTP, L2TP/IPsec neu OpenVPN ar yr un rwter

Gall yr un rwter gario unrhyw un o'r tri thiwel cyffredin, a'r gwahaniaeth yw'r hyn y mae'n rhaid iddo ei fynegi. Mae PPTP angen dwy reol mewn dwy haen wahanol. Mae L2TP dros IPsec angen UDP 500 a 4500 ar gyfer y cyfnewid allweddi ac, oni bai bod NAT-T yn ei gario, protocol 50 ar gyfer y llwyth. Mae OpenVPN angen un porth UDP a dim helpwr o gwbl.

Nid yw colofn L2TP yn fwy cyfeillgar na GRE yn awtomatig. ESP yw protocol IP 50 ac nid oes ganddo borth chwaith, felly gall rwter sy'n cael trafferth gyda protocol 47 gael trafferth gyda protocol 50 am yr un rheswm. Mae NAT-T yn bodoli i lapio ESP y tu mewn i UDP 4500, a phan fydd y ddau ben yn ei gefnogi mae'r rheol protocol 50 yn dod yn ddiangen. Mae hynny'n nodwedd o'r pennau, nid o flwch PPTP y rwter. Cadarnhewch pa lapio y negododd y cleient cyn ysgrifennu rheolau ar gyfer y ddau.

OpenVPN yw'r opsiwn â'r nifer lleiaf o rannau symudol ar ochr y rwter. Un porth UDP, un anfoniad, dim helpwr olrhain cysylltiadau a dim ailysgrifennu dynodwyr galwadau. Y fasnach yw cleient y mae'n rhaid ei osod yn lle deialwr adeiledig, ac yn aml dyna'r unig reswm y mae PPTP yn aros yn y sgwrs.

Beth i'w drwsio a beth i'w ddisodli

Mae trwsio'r anfoniad a'r MTU yn rhoi tiwnel sy'n gweithio i chi, nid un y dylech ei gadw. Mae dilysu MSCHAPv2 PPTP wedi bod yn agored i ymosod ers blynyddoedd, ac mae tiwnel sy'n gweithio yn symud manylion mewngofnodi y gellir eu hadfer all-lein. Os gall y ddyfais bell redeg L2TP/IPsec neu OpenVPN, trinnwch y trwsiad fel mesur dros dro â dyddiad arno.

Mae'r penderfyniad yn dod i lawr i'r hyn y mae'r pen pell yn ei gefnogi a pha mor hir y mae'n rhaid i'r trefniant bara. Mae offeryn etifeddol nad yw'n siarad ond PPTP yn cael y trwsiad; mae unrhyw beth sy'n gallu gosod cleient yn cael ei fudo.

Cyn cau'r tocyn, cadarnhewch fod y cleient yn goroesi trosglwyddiad mawr yn hytrach na mewngofnodi, ac fod y rwter yn dal ei reol protocol 47 ar ôl ailgychwyn. Nid oedd tiwnel sy'n pasio un copïad ffeil ac yn marw ar ôl y diweddariad cadarnwedd nesaf erioed wedi'i orffen.