VPN tunela ez da inoiz konektatzen: non gelditzen dira paketeak benetan

Bezeroak behin eta berriro saiatzen jarraitzen du, erregistroa eskuko keinuaren aurretik gelditzen da, eta zerbitzariak ez du ezer erregistratzen. Eredu horrek kredentzialetatik urrundu eta bidera begiratzen du: bi muturren artean zerbait uko egiten dio tunelak behar duen protokoloa garraiatzeari. Erabaki non gelditzen diren paketeak bi konfigurazioetako edozein ukitu aurretik, protokolo iragazi batek eta pasahitz oker batek bezero gehienetan akats atsegin bera sortzen dutelako. Probak kostuaren arabera ordenatuta daude, merkeena lehenengo.

Frogatu non gelditzen den trafikoa

Hartu aldi berean bezeroaren irteera interfazean eta zerbitzarian. Konparatu irten dena iritsi denarekin, eta idatzi diferentzia zein norabidetan agertzen den.

Zerbitzarian ezer ez egoteak bidea edo lehen NATa trafikoa baztertzen ari direla esan nahi du, eta erantzunik gabeko iritsierak zerbitzariko suebaki bat edo existitzen ez den itzulera-bide bat seinalatzen dute. Tunelak maiz amaitzen dituen bideratzaile batek ez du erregistro erabilgarririk izaten, beraz, harrapaketa bilakatzen da erregistro. Idatzi helmugako ataka eta protokolo-zenbakia, huts egite biak berdin ikusten baitira bezeroaren elkarrizketa-leihoan.

PPTP 47 protokolorik gabe hiltzen da

PPTPk kontrola TCP 1723 bidez eramaten du eta datuak GRE barruan, hau da, IP 47 protokoloa da eta ez ataka-zenbakia. 1723 soilik birbidaltzeak emaitza klasikoa ematen du: konexioa autentifikatu egiten da eta gero isildu egiten da, zama daraman protokoloarentzako araurik ez dagoelako. Bezeroak ezin du hori baztertutako pasahitz batetik bereizi, beraz harrapaketak konfigurazio-aldaketak baino lehen etorri behar du.

Passthroughak sarrerako birbidalketaren aurkako norabidean funtzionatzen du, eta firmwareak sarritan etiketa bakarra erabiltzen du bienizako, denak nahasteko adina. Linux bezero batean suebaki lokalak GRE bazter dezake bideratzailea inplikatu baino askoz lehenago, beraz 47 protokoloak bere araua behar du eta conntrack laguntzailea kargatuta egon behar da. Ubuntu-ren ufwk arau horiek before fitxategian gordetzen ditu, allow arau arruntek ezin baitute protokolo-zenbaki bat adierazi. Ondoren kargatu berriro suebakia, makinak berrabiarazi beharrean.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP eta IPsec bi NATen atzean

L2TP IPsec barruan UDP 500 behar du gako-trukerako, UDP 4500 NATa detektatzen denean, eta ESP 50 protokolo gisa. Horietako bakoitza modu independentean iragazten da, beraz, bat baimentzen duen arauak ez du ezer frogatzen beste biei buruz. Seriean dauden bi bideratzailek pakete bakoitza birritan itzultzen dute, eta muturrek ez dute gehiago bat egiten negoziatu zenari buruz.

Zubitu kanpoko modema, edo itzali NAT barruko bideratzailean, helbide publikoa tunela amaitzen duen gailuraino irits dadin. Biak ezinezkoak badira, tunela NAT bikoitzaren muga barrutik hasi behar da, ez han amaitu.

Operadoreen sareak eta helbide-partekatzea

WAN helbide bat 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 edo 100.64.0.0/10 barrutian egoteak esan nahi du bideratzaileak ez duela helbide publikorik eta internetetik datorren sarrerako birbidalketak ezin diola iritsi. Operadore-mailako NATak gainera espero ez dituen protokoloak iragazten ditu, eta GRE biktima ohikoa da mugikor estekak. Konparatu WAN helbidea bideratzailean bertan, ez bilaketa-gune batek haren atzean dagoen bezero bati buruz ematen duen helbidea.

Bideratzaile bera kablezko linea batean erabiltzeak operadorearen aurkikuntza eta konfigurazio-akatsa proba bakar batean bereizten ditu. Operadoreak protokoloa ukatzen badu, gainerako aukerak 443ko beste garraio bat edo barrutik hasitako tunel bat dira.

Irakurri entzuleen zerrenda atakak itxi aurretik

Ataken eskaneatze kezkagarri bat sarritan piztuta datorren funtzio-multzoa besterik ez da. Inbentariatu entzuleak, lotu socket bakoitza funtzio batekin, eta gero desaktibatu funtzioa ataka blokeatu beharrean, bi ikuspegiek elkar ez dezaten urrundu.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

SoftEtherren balio lehenetsiak adibide ona dira: TCP 443, 992 eta 5555, L2TP/IPsec eta DNS tunel funtzioek beren socketak gehitzen dituztela. Funtzio horiek desaktibatzeak entzuleak kentzen ditu ezkutatu beharrean, eta kanpoko ostalari batetik egindako probak esaten dizu operadoreak ataka pasatzen uzten duen. Bertan erantzuten duen entzule bat oraindik itxita egon daiteke gorago, beraz konparatu bideratzailearen WAN helbidea kanpoko zerbitzu batek ematen duenarekin.