PPTP konektatu eta gero Linux NAT atzean blokeatzen da: GRE laguntzailea

Norbaitek 1723 birbidaltzen du, bezeroa zerbitzarira iristen da, autentifikazioa hasten da, eta orduan dena gelditzen da errore bat ere gabe. Ondorio naturala pasahitz okerra da, beraz pasahitza hiru aldiz berridazten da. Birbidalketa ondo zegoen eta kredentzialak ondo zeuden. Apurtu zena birbidalketak inoiz estali ez zuen bigarren protokolo bat da, eta harekin laguntzeari isilka utzi zion kernelaren balio lehenetsi bat.

Birbidalketa ez zen inoiz arazoa

Portu-birbidalketa arau batek TCP edo UDP trafikoa deskribatzen du. Ezin du deskribatu saioaren erdian beste IP protokolo batera aldatzen den karga, eta PPTP-k zehazki hori egiten du.

Horregatik konexioak osasuntsu dirudi blokeatzen den unera arte. Portu-arau batek goberna dezakeen zatia arrakastatsua izan zen, eta goberna ezin dezakeen zatia huts egin zuen zatia da.

TCP kontrola egiteko, GRE datuetarako

Deia TCP 1723 bidez negoziatzen da. Altxatzen denean, karga GRE-ra pasatzen da, 47 IP protokoloa, eta horrek ez du portu-zenbakirik eramaten. Portuetan oinarritzen den arauak ez du parekatzeko ezer.

GRE-k eramaten duena buruan duen dei-identifikatzaile bat da, eta NAT itzultzaileak eremu hori bi noranzkoetan koherenteki berridatzi behar du, edo saioaren bi erdiek elkarrekin adostasuna uzten dute. Noranzko bat berridatzita eta bestea ez duen saio batek autentifikatu eta gero datu-pakete guztiak baztertzen ditu. Hori da sintomaren forma zehatza: arrakasta, gero isiltasuna.

PPTP gabe GRE soilak ez du berridazketa horren beharrik, horregatik GRE tunel arrunt batek bide horretan PPTP bezeroarentzat huts egiten duen bideratzaile batetik funtziona dezake.

Lau modulu eta horiek itzali zituen sysctl bat

Bi moduluk markoa kudeatzen dute, nf_conntrack_proto_gre eta nf_nat_proto_gre. Beste bik dei-identifikatzailea kudeatzen dute, nf_conntrack_pptp eta nf_nat_pptp. Azken hori kargatzeak gainerakoak mendekotasunen bidez ekartzen ditu, beraz modulu-zerrendak lauak erakutsi beharko lituzke.

Argibide zaharrek 2.6 garaiko ip_ aurrizkia erabiltzen dute. Komando horiek exekutatzen ari direla dirudi ezer kargatu gabe, beraz egiaztatu kargatutako zerrenda, irteera-egoera beharrean.

Kargatuta egotea ez da nahikoa orain. Linux 4.7tik sysctl net.netfilter.nf_conntrack_helper lehenespenez 0 da, eta horrek fluxu berrietarako laguntzaile-esleipen automatikoa desgaitzen du. Bideratzaile batek modulu guztiak izan ditzake eta hala ere ezer itzuli ez. Egiazta ezazu balio eraginkorra modulu-zerrenda berriro begiratu aurretik.

Edo aktibatu esleipen automatikoa berriro modu globalean, edo erantsi laguntzailea behar duten fluxuei eta utzi beste guztia bakean:

iptables -t raw -A PREROUTING -p tcp --dport 1723 -j CT --helper pptp

Bigarren aukera da hoberena. Portaera PPTP trafikoara mugatzen du, bideratzaile osoan esleipen automatikoa berriro gaitzearen ordez.

Porturik ez duen protokolo bat irekitzea

1723 uzten duen suebaki-arau batek ez du ezer esaten 47 protokoloaz. firewalld-en, baimendu protokoloa bezeroari begira dagoen zonan. iptables arruntean, onartu gre protokoloa sarrera-katean.

Gero harrapatu bi aldeetan. Bezeroa uzten duten paketeei erantzunik iristen ez bazaie, itzulera-bidea iragazita dago, eta hori kredentzial baztertu batekin alderatuta akats desberdina da.

Konektatu ondoren, tamainaren muga

GRE-k goiburu bat sartzen du, eta barruko PPP-k gehiago gehitzen du, beraz lan egiten duen estekak 1500etik askoz beherako MTUa ematen du. Erantzun txikiak kargatzen dira eta handiak trabatzen dira, eta hori lehenengoa konpontzen den unean agertzen den bigarren arazo independentea dirudi.

Irakurri MTUa bezeroaren PPP egokigailuan eta harmonizatu bideratzailearen beraren kalkuluarekin zenbakiak jaisten jarraitu beharrean zerbait funtziona dezakeen arte. Tamaina osoko paketeak ateratzen dira eta ezer ez da itzultzen, eta horrek muga horri seinalatzen dio, itzulpenari ez.

Bidea konpontzeak erabiltzailea lanean jartzen du, eta ez du PPTP aukera ona egiten. MS-CHAPv2 eta RC4 aspaldi zaharkituta daude, beraz har itzazu moduluen karga konponketa behineko gisa eta planifikatu protokolo mantendu batera igarotzea.