Nid yw twnnel VPN byth yn cysylltu: ble mae'r pecynnau'n stopio mewn gwirionedd

Mae'r cleient yn parhau i ailgynnig, mae'r log yn stopio cyn i'r ysgwyd llaw gwblhau, ac nid yw'r gweinydd yn cofnodi dim o gwbl. Mae'r patrwm hwnnw'n tynnu sylw oddi wrth achrediadau ac yn cyfeirio at y llwybr: mae rhywbeth rhwng y ddau ben yn gwrthod cludo'r protocol y mae'r twnnel ei angen. Penderfynwch ble mae'r pecynnau'n stopio cyn cyffwrdd â'r naill gyfluniad na'r llall, oherwydd bod protocol wedi'i hidlo a chyfrinair anghywir yn cynhyrchu'r un gwall cyfeillgar yn y rhan fwyaf o gleientiaid. Mae'r profion wedi'u trefnu yn ôl cost, y rhataf yn gyntaf.

Profwch ble mae'r traffig yn stopio

Cipiwch ar ryngwyneb allanol y cleient ac ar y gweinydd ar yr un pryd. Cymharwch yr hyn a adawodd â'r hyn a gyrhaeddodd, a nodwch ym mha gyfeiriad y mae'r gwahaniaeth yn ymddangos.

Dim byd ar y gweinydd sy'n golygu bod y llwybr neu'r NAT cyntaf yn gollwng traffig, tra bod dyfodiadau heb atebion yn awgrymu wal dân ar y gweinydd neu lwybr dychwelyd nad yw'n bodoli. Mae llwybrydd sy'n terfynu twnneli yn aml yn cadw dim log defnyddiol, felly'r cipiad yw'r cofnod. Nodwch y porthladd cyrchfan a rhif y protocol, oherwydd bod y ddau fethiant yn edrych yr un fath mewn deialog cleient.

Mae PPTP yn marw heb brotocol 47

Mae PPTP yn cludo rheolaeth ar TCP 1723 a'i ddata y tu mewn i GRE, sef protocol IP 47 yn hytrach na rhif porthladd. Mae anfon 1723 yn unig yn cynhyrchu'r canlyniad clasurol: mae'r cysylltiad yn dilysu, yna'n distewi, oherwydd nad oes rheol ar gyfer y protocol sy'n cludo'r llwyth. Ni all y cleient wahaniaethu hynny oddi wrth gyfrinair a wrthodwyd, a dyna pam mae'n rhaid i'r cipiad ddod cyn y golygiadau cyfluniad.

Mae pasio drwodd yn rhedeg i'r cyfeiriad arall i anfon i mewn, ac mae firmware yn defnyddio un label ar gyfer y ddau yn ddigon aml i ddrysu pawb. Ar gleient Linux gall y wal dân leol ollwng GRE ymhell cyn i'r llwybrydd fod yn rhan o'r mater, felly mae angen rheol ei hun ar brotocol 47 a rhaid llwytho'r cynorthwyydd conntrack. Mae ufw Ubuntu yn cadw'r rheolau hynny yn y ffeil before, oherwydd na all rheolau allow cyffredin fynegi rhif protocol. Ail-lwythwch y wal dân wedyn yn hytrach nag ailgychwyn y peiriant.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP ac IPsec y tu ôl i ddau NAT

Mae L2TP y tu mewn i IPsec angen UDP 500 ar gyfer y cyfnewidiad allweddi, UDP 4500 unwaith y canfyddir NAT, ac ESP fel protocol 50. Mae pob un ohonynt yn cael ei hidlo'n annibynnol, felly nid yw rheol sy'n caniatáu un yn profi dim am y ddau arall. Mae dau lwybrydd mewn cyfres yn cyfieithu pob pecyn ddwywaith, ac nid yw'r penau bellach yn cytuno ar yr hyn a drafodwyd.

Pontiwch y modem allanol, neu diffoddwch NAT ar y llwybrydd mewnol, fel bod y cyfeiriad cyhoeddus yn cyrraedd y ddyfais sy'n terfynu'r twnnel. Lle nad oes modd y naill na'r llall, rhaid cychwyn y twnnel o fewn ffin y NAT dwbl yn hytrach na'i derfynu yno.

Rhwydweithiau cludwyr a rhannu cyfeiriadau

Mae cyfeiriad WAN o fewn 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 neu 100.64.0.0/10 yn golygu nad oes gan y llwybrydd gyfeiriad cyhoeddus, ac ni all unrhyw anfon i mewn o'r rhyngrwyd ei gyrraedd. Mae NAT ar raddfa cludwr hefyd yn hidlo protocolau nad yw'n eu disgwyl, ac mae GRE yn dioddef yn aml ar gysylltiadau symudol. Cymharwch y cyfeiriad WAN ar y llwybrydd ei hun, nid y cyfeiriad y mae safle chwilio yn ei adrodd ar gyfer cleient y tu ôl iddo.

Mae rhedeg yr un llwybrydd ar linell wifredig yn gwahanu canfyddiad cludwr oddi wrth wall cyfluniad mewn un prawf. Lle mae'r cludwr yn gwrthod y protocol, y dewisiadau sy'n weddill yw cludiad gwahanol ar 443 neu dwnnel a gychwynnir o'r tu mewn.

Darllenwch y rhestr gwrandawyr cyn cau porthladdoedd

Sgan porthladdoedd brawychus yn aml yw dim ond y set nodweddion a ddaw wedi'i galluogi. Rhestrwch y gwrandawyr, cyfatebwch bob soced i nodwedd, yna diffoddwch y nodwedd yn hytrach na rhwystro'r porthladd, fel na all y ddau olygfa wahanu.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

Mae diofyniadau SoftEther yn enghraifft dda: TCP 443, 992 a 5555, gyda nodweddion L2TP/IPsec a thwnnel DNS yn ychwanegu eu socedi eu hunain. Mae diffodd y nodweddion hynny'n tynnu'r gwrandawyr yn hytrach na'u cuddio, ac mae'r prawf o westeiwr allanol yn dweud wrthych a yw'r cludwr yn gadael y porthladd drwodd o gwbl. Gall gwrandawr sy'n ateb yn lleol fod wedi'i gau i fyny'r llif o hyd, felly cymharwch gyfeiriad WAN y llwybrydd ei hun â'r hyn y mae gwasanaeth allanol yn ei adrodd.