L2TP IPsec gabe Linuxen: xl2tpd, pppd eta NAT

L2TP hutsa PPP da gutun-azal baten barruan, eta besterik ez. Zure markoak daramatza; ez ditu zifratzen eta ez du frogatzen nor dagoen beste muturrean, eta horregatik ia hedapen guztiek IPsec jartzen dute azpian. Bertsio biluzia erabiltzeko arrazoi zintzoak oraindik badaude: laborategiko banku bat, migrazio-urrats bat edo beste bide babestu baten barruan dagoen esteka bat.

Aurrera egiten baduzu, jarri ohar hori diseinu-oharrean eta utzi han. Hurrengo hau da Debian eta RHEL familiako ostalarietan erabiltzen dudan bide operatiboa: zein fitxategik zer daraman, geldialdi klasikoa eragozten duen MTUk eta tunela baliagarri egiten duten birbidaltze-arauak.

Hiru fitxategik partekatzen dute lana

xl2tpd-k kontrol-konexioa amaitzen du eta saio bakoitza PPP daemon bati ematen dio, beraz konfigurazioa elkarren fitxategiak inoiz irakurtzen ez dituzten bi programen artean banatuta dago. Entzulea /etc/xl2tpd/xl2tpd.conf fitxategian dago, [lns default] atal baten barruan, eta atal horrek helbide-poola ip range-rekin, zerbitzariaren muturra local ip-rekin eta PPPrako ematea pppoptfile-rekin izendatzen ditu. Piztu require authentication = yes, utzi length bit eta flow bit gaituta, eta aukeratu ostalariak beste inork erabiltzen ez duen pool bat.

PPP politika aukera horrek izendatzen duen fitxategiarena da, normalean /etc/ppp/options.xl2tpd: auth, pap, chap eta mschap rako ukoak, require-mschap-v2, 1460eko MTU eta MRU, eta esteka altxatu ondoren bezeroak irits dezakeen DNS helbidea. Kredentzialak beste hirugarren fitxategi bat dira, /etc/ppp/chap-secrets, non bigarren eremuak LNS atalaren izenarekin bat egin behar duen eta laugarrenak pooleko helbide zehatz bat finka dezakeen.

Zergatik konektatzen da tunela eta gero trabatzen

1500 byteko Ethernet marko bat ez da sartzen bere goiburuei byteak gastatzen dizkien bide batean. Kanpoaldeko IPv4 goiburuak 20 balio ditu, UDPk 8 eta L2TP goiburuak gutxi gorabehera 12, eta horrek 1460 uzten ditu PPP eta bere kargarako. PPPn zenbaki txikiago hori iragartzea da pakete handiak zatikatuak edo erdian isilka baztertuak izan ez daitezen.

Sintoma benetako trafikoa iritsi arte osasuntsu dirudien tunel bat da: pingek eta kontrol-mezuek zeharkatzen dute, fitxategi-kopia bat trabatzen da, erregistroan ezerk ez du azaltzen. Jaitsi MTU eta MRU batera bi muturretan. Bezeroa bakarrik doitzeak trabatze gogorra tartekako batean bihurtzen du normalean, eta hura okerragoa da diagnostikatzeko.

Portu batek bi elkarrizketa daramatza

UDP 1701 protokoloaren bi erdien azpian dago, eta gertaera bakar horrek instalazioaren beste edozein atalek baino suebaki-arau gehiago hausten ditu. Lehenengo kontrol-konexioaren hasierako eskaera eta haren erantzuna datoz; ondoko saio-eskaerak eta berrespenak ez dute identifikatzaile-parea baino gehiago ezartzen. Gero PPPk hartzen du ardura: esteka-kontrola, gero autentifikazioa, gero IP kontrol-protokoloa helbideak adosteko. Etapa bakoitzak bere hiztegia du erregistroan, eta batek ere ez du bere burua L2TP hutsegite gisa iragartzen.

Harrapaketa zehazki ordena horretan irakurtzeak esaten dizu zein etapak huts egin duen, eta PPP autentifikazio-hutsegitea ez da konponduko xl2tpd aldatuta. Portu partekatuak beste hutsegite arrunt bat azaltzen du: fluxu baten lehen paketeak soilik uzten dituen arauak saioa ezartzen uzten du eta gero transferentzia blokeatzen du. Baimendu 1701 elkarrizketa osoan, bi norabideetan.

Tunela baliagarri egitea: birbidaltzea eta NAT

Saio batek bere horretan zerbitzariraino soilik iristen da. Bezeroen internet-sarbideak birbidaltzea, uplinkean poolerako NAT araua eta esteka altxatu ondoren bezeroak benetan galdetu dezakeen DNS behar ditu. Poolak LAN barrutitik kanpo egon behar du, bestela bezeroei zuzendutako erantzunak tokian bertan entregatzen dira tunelera itzuli beharrean.

Zerbitzarian, gaitu birbidaltzea sysctl -w net.ipv4.ip_forward=1-ekin, itzuli pool-a iptables -t nat -A POSTROUTING -s 10.44.0.0/24 -o eth0 -j MASQUERADE-ekin, gero onartu irteera-tunel trafikoa -i ppp0 -o eth0 rako FORWARD arauarekin eta itzulera-trafikoa ispilu-arauarekin gehi -m state --state RELATED,ESTABLISHED. Egin arau horiek iraunkorrak berrabiarazteen artean, zeren haiek gabe itzultzen den zerbitzariak L2TP konfigurazio hautsi baten itxura berbera du.

Zerbitzariaren LANera iristea beste zeregin bat da: gehitu itzulera-bide bat poolarentzat LAN routerrean, edo proxy ARP zerbitzarian. Bezeroak NAT atzean ezkutatzea LAN barruko zerbait haiei zuzenean zuzendu behar zaienean bigarren arazketa-saio bat programatzea besterik ez da, geroagorako.

Zer ez duen pila biluziak egiten, eta nola egiaztatu

Pila honen inongo atalek ez ditu PPP markoak zifratzen, eta bertan ezerk ez du urruneko muturra zuk benetan aukeratutako zerbitzari gisa autentifikatzen. MS-CHAPv2k bai babesten du kredentzialen trukea soilik behatzen duen entzule batetik, baina bidean kokatutako erasotzaile batek saioan esku har dezake oraindik. Windowsen jatorrizko bezeroak L2TP IPsecrekin batera soilik eskaintzen du, beraz kontatu Linux, routerren firmwarea eta hirugarrenen bezeroak zure pare gisa. Hartu konfigurazio biluzia diagnostiko-maila gisa, inoiz ez gelditzeko tokia.

Egiaztatu ordena finko batean: exekutatu xl2tpd -D aurreko planoan, begiratu erregistroa PPP etapari dagokionez, irakurri esleitutako helbidea ip addr irteeratik bi muturretan, gero harrapatu UDP 1701 saioa altxatu ondoren datuak isurtzen direla baieztatzeko. Lauak bat badatoz eta trafikoak huts egiten badu oraindik, akatsa bideratzean, NATen edo MTUn dago, ez L2TPn bertan.