VPN-tunelo neniam konektiĝas: kie la pakaĵoj vere haltas

Tunelo, kiu neniam formiĝas, lasas malplenan protokolon ĉe ambaŭ finoj. Spuru, ĉu GRE, ESP aŭ UDP 4500 estas forĵetataj, kaj trovu la NAT de la funkciigisto antaŭ ol redakti la servilon.

La kliento daŭre reprovas, la protokolo haltas antaŭ ol la manpremo kompletiĝas, kaj la servilo registras tute nenion. Tiu ŝablono direktas atenton for de la akreditaĵoj al la vojo: io inter la du finoj rifuzas porti la protokolon, kiun la tunelo bezonas. Determinu, kie la pakaĵoj haltas, antaŭ ol tuŝi iun ajn el la du agordoj, ĉar filtrita protokolo kaj malĝusta pasvorto produktas la saman afablan eraron en plej multaj klientoj. La testoj estas ordigitaj laŭ kosto, la malplej kosta unue.

Pruvu, kie la trafiko haltas

Kaptu samtempe sur la elira interfaco de la kliento kaj sur la servilo. Komparu tion, kio foriris, kun tio, kio alvenis, kaj notu, en kiu direkto la diferenco aperas.

Nenio ĉe la servilo signifas, ke la vojo aŭ la unua NAT forĵetas trafikon, dum alvenoj sen respondoj montras al fajroŝirmilo sur la servilo aŭ al revena vojo, kiu ne ekzistas. Enkursigilo, kiu ofte finigas tunelojn, kutime ne tenas utilan protokolon, do la kaptaĵo fariĝas la registro. Notu la celan pordon kaj la protokolan numeron, ĉar ambaŭ fiaskoj aspektas idente en klienta dialogo.

PPTP mortas sen protokolo 47

PPTP portas regadon sur TCP 1723 kaj siajn datumojn ene de GRE, kiu estas IP-protokolo 47 kaj ne porda numero. Plusendi nur 1723 produktas la klasikan rezulton: la konekto aŭtentikiĝas kaj poste silentas, ĉar ne ekzistas regulo por la protokolo, kiu portas la utilan ŝarĝon. La kliento ne povas distingi tion de rifuzita pasvorto, tial la kaptaĵo devas veni antaŭ la agordaj ŝanĝoj.

Trapaso funkcias en la kontraŭa direkto de envena plusendo, kaj firmaro sufiĉe ofte uzas unu etikedon por ambaŭ, por konfuzi ĉiujn. Sur Linux-kliento la loka fajroŝirmilo povas forĵeti GRE longe antaŭ ol la enkursigilo partoprenas, do protokolo 47 bezonas sian propran regulon kaj la conntrack-helpaĵo devas esti ŝargita. La ufw de Ubuntu tenas tiujn regulojn en la dosiero before, ĉar ordinaraj permesaj reguloj ne povas esprimi protokolan numeron. Poste reŝargu la fajroŝirmilon anstataŭ restartigi la maŝinon.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP kaj IPsec malantaŭ du NAT

L2TP ene de IPsec bezonas UDP 500 por la ŝlosila interŝanĝo, UDP 4500 kiam NAT estas detektita, kaj ESP kiel protokolo 50. Ĉiu el ili estas filtrita sendepende, do regulo, kiu permesas unu, pruvas nenion pri la aliaj du. Du enkursigiloj sinsekve tradukas ĉiun pakaĵon dufoje, kaj la finpunktoj ne plu interkonsentas pri tio, kio estis traktita.

Pontigu la eksteran modemon, aŭ malŝaltu NAT sur la interna enkursigilo, por ke la publika adreso atingi la aparaton, kiu finigas la tunelon. Kie eblas nek una nek la alia, la tunelo devas esti iniciatata de interne de la limo de duobla NAT, ne finigata tie.

Retoj de funkciigistoj kaj kunhavigo de adresoj

WAN-adreso ene de 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 aŭ 100.64.0.0/10 signifas, ke la enkursigilo havas neniun publikan adreson, kaj neniu envena plusendo el la interreto povas atingi ĝin. NAT je funkciigista nivelo krome filtras protokolojn, kiujn ĝi ne atendas, kaj GRE ofte suferas sur movaj ligoj. Komparu la WAN-adreson sur la enkursigilo mem, ne la adreson, kiun serĉa retejo raportas por kliento malantaŭ ĝi.

Funkciigi la saman enkursigilon sur drata linio apartigas konstaton pri funkciigisto de agorda eraro per unu sola testo. Kie la funkciigisto rifuzas la protokolon, la restantaj ebloj estas alia transporto sur 443 aŭ tunelo iniciatata de interne.

Legu la liston de aŭskultantoj antaŭ ol fermi pordojn

Timiga pordoskanado ofte estas nur la funkcikolekto, kiu venas ŝaltita. Inventaru la aŭskultantojn, ligi ĉiun soketon al funkcio, kaj poste malŝaltu la funkcion anstataŭ bloki la pordon, por ke la du vidpunktoj ne disiĝu.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

La defaŭltoj de SoftEther estas bona ekzemplo: TCP 443, 992 kaj 5555, kun la funkcioj L2TP/IPsec kaj DNS-tunelo aldonantaj proprajn soketojn. Malŝalti tiujn funkciojn forigas la aŭskultantojn anstataŭ kaŝi ilin, kaj la provo el ekstera gastiganto diras al vi, ĉu la funkciigisto entute lasas la pordon pasi. Aŭskultanto, kiu respondas loke, tamen povas esti fermita pli supre, do komparu la propran WAN-adreson de la enkursigilo kun tio, kion raportas ekstera servo.

Rilataj artikoloj