Egokitu Linux VPN bezeroa gailu zaharren protokoloari

Irakurri gailuaren argitaratutako atakak, eta instalatu dagokion bezeroa: pppd GRE gainean, strongSwan IKEv1 XAuth-erako edo openconnect atarirako.

Lau protokolo-familia ia rack batean oraindik dagoen edozein gailu estaltzen dute, eta bakoitzak modu ezberdinean egiten du huts Linuxen. Urruneko muturrak argitaratutako atakak eta konfiguratutako proposamenak erabakitzen dute zure paketea, ez kasualitatez exekutatzen duzun banaketa. Foroko mezu batek aipatzen duena instalatu eta gero zerbait konektatu arte editatu — horrela galtzen da arratsalde bat. Irakurri gailua, instalatu bigarren, egiaztatu hirugarren.

Idatzi urruneko muturrak zer argitaratzen duen

Idatzi gailuak espero duen protokoloa, atakak eta autentifikazioa pakete-kudeatzaile bat ireki aurretik. Lau familiek hardware zaharraren zati handiena estaltzen dute, eta beheko taula erabaki osoa da pantaila batean.

FamilyPortsLinux side
PPTPTCP 1723 plus GRE, IP protocol 47pppd with a peer file
L2TP/IPsecUDP 500, 4500, 1701NetworkManager plugin over strongSwan
IKEv1 aggressive with XAuthUDP 500native strongSwan connection
AnyConnect-style portalTCP 443openconnect with a TUN device

Eskuliburua eta gailuaren beraren suebaki-arauak fidagarriagoak dira haren saioa hasteko orriko protokoloaren izena baino. IPsec iragartzen duen gailu batek IKEv1 soilik hitz egin dezake, eta inork aplikatu ez duen firmware bertsio bat izan daiteke azkenean IKEv2 gehitzen duena. Egiaztatu datu-bidea eta konfigurazio-ataka ere, zahar eta sare modernoak hemen desberdintzen baitira. Pauso honetan huts egitea zure bezeroa beste muturrak inoiz izan ez zuen ezaugarri baten aurka arazotzea da.

PPTP: frogatu GRE pppd editatu aurretik

Linuxen PPTP ez da abiarazten duzun daemon bat, pppd-ren dei bat baizik, eta konexio-parametroak pppd-k deituta irakurtzen duen peer fitxategi izendatu batean bizi dira. Banaketek oraindik paketatzen dute, protokoloaren ahultasun ezagunek sentikor den edozertarako desegokia bihurtzen duten arren, beraz, mantendu zorrotz beste ezer eskaintzen ez duen gailu batentzat. Begiratu GRE bezeroak negoziatzen duen bitartean, harrapaketa labur batekin, susmoaren ordez. Denbora gehien galtzen duen hutsegitea ez da autentifikazioa, falta den datu-bidea baizik.

pppd call branch-office
tcpdump -ni any proto gre -c 5

Konfigurazioa amaitzen bada eta estekalak inoiz trafikorik garraiatzen ez badu, susmatu GRE bidea kredentzialak ukitu aurretik. Hodeiko segurtasun-taldeek arau esplizitua behar dute 47 protokolorako, eta sare batzuek erabat blokeatzen dute, errorerik ikusgairik gabe. Probatu benetan erabiliko duzun saretik, guztia baimentzen duen laborategi batetik beharrean.

L2TP/IPsec: proposamen egoki batek hamar saiakera garaitzen ditu

Irakurri daemonaren erregistroa mahaigaineko elkarrizketaren ordez, elkarrizketak hainbat hutsegite desberdin mezu bakarrean bateratzen baititu. NO_PROPOSAL_CHOSEN errorea lehen faseari dagokio: bezeroak zerbitzariak onartuko ez duen zifratze, hash edo Diffie-Hellman talde bat eskaini zuen. Zerrendatu gailuak zer onartzen duen eta idatzi harekin bat datorren proposamen bat, konbinazio ausazkoek errore bera motelago sortu ohi baitute. Mahaigainean, bezero praktikoa NetworkManager L2TP plugina da, azpian strongSwan edo Libreswan duela.

Mahaigaineko plugin baterako gauza bat esan nahi duen proposamen-kate batek beste zerbait esan dezake lana ematen dion daemonarentzat, beraz, mantendu sintaxia editatzen ari zaren geruzari egokia. Gailuak tunel-sekretu bat ere eskatzen badu, hori IPsec gakotik bereizitako etapa da. Egiaztatu bi horietako zein eskatzen ari den interfazea, ezer idatzi aurretik.

IKEv1 oldarkorra XAuth-ekin, eta atariaren kasua

FortiGate estiloko mutur batek normalean nahi du modu oldarkorra XAuth-ekin eta konfiguratutako moduko helbidea, eta plugin grafiko batek agian batere erakusten ez duena. Bertako daemonak kudeatzen du, eta beheko blokea konfigurazio horren forma da, ez fitxategi osoa. Begiratu hornitzailearen uneko dokumentazioa proposamen-balioetarako.

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

strongSwan bertsio zaharrek xauth=client erabiltzen zuten non 5 bertsioak leftauth2=xauth erabiltzen duen, beraz, kopiatutako zati batek sintaxi hutsez huts egin dezake. TLS atari baterako, AnyConnect protokoloa hitz egiten duen openconnect arduratzen da Cisconez eta berriz markatutako gehienez, eta TUN gailu bat eta hura konfiguratzeko pribilegioak behar ditu. Pasatu atariaren helbidea nabigatzaileak erakusten duen bezala, gailuak espero duen edozein bide barne, eta gero egiaztatu esleitutako helbidea atzean ezer probatu aurretik. Interfazea aldez aurretik sortzeak konfigurazioa egiteko ustekabeen klase bat kentzen du.

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

Konektatu, gero egiaztatu orden finko batean

Exekutatu VPN kudeatzaile bat soilik aldi berean, NetworkManager profila eta eskuz abiarazitako daemon bat bide eta DNSengatik borrokatuko baitira. Jaitsi profila eskuzko konexio bat probatu aurretik, eta egiaztatu tunel-interfaze zaharrik ez dela hondarretan gelditzen. Gero egiaztatu ordena honetan: tunel helbidea, behar duzun barruko ostalari bakarrerako bidea, izen-ebazpena eta azkenik eskaera erreala. Ikono berde batek autentifikazioa frogatzen du eta besterik ez.

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

Pauso batek huts egiten badu, gelditu han hurrengoa probatu beharrean, bide hautsi baten beheko DNS hutsegiteak ez baitizu ezer erakusten. Gorde funtzionatzen duen profilaren kopia bat esperimentatu aurretik, ezabatutako konexio-fitxategi bat erraza baita galtzen eta neketsua berreraikitzen. Mantendu proposamen-balioak gailuaren modeloaren eta firmware bertsioaren ohar berean, ohar hori baita migrazioa eta arkeologia proiektu baten arteko aldea kutxa ordezten denean.

Erlazionatutako artikuluak