Zergatik konektatzen da VPN bezero bat bakarrik router beraren atzean

Bi ordenagailu eramangarri etxe-sare berean daude, eta bulegoko VPNak haietako bat baino ez du onartzen. Bigarrena denbora-mugara iristen da edo lehena deskonektatu arte itxaroten du, eta inork ez zuen bezeroaren ezarpenik ukitu bi saiakera horien artean. Kredentzialak duela minutu bat funtzionatu zuten berberak dira, eta hori da autentifikazioa ez dela hutsegitea adierazten duen arrastoa. Hiru mekanismok sortzen dute eredu hori, eta zerbitzariaren beraren erregistroak esaten du zeini aurre egiten diozun.

Irakurri atebidearen erregistroa bezero bat ukitu aurretik

Zerbitzariaren erregistroak bi saiakeren berri ematen du lehen galderari erantzunez, eta hiru modu horietako batean erantzuten du. Bigarren saiakera erregistro horretan inoiz agertzen ez bada, paketea ez da inoiz entzulearengana iritsi, eta etxeko routerra edo hornitzailearen bidea da arazoaren jabea. Erregistroak saiakera bat jasotzen eta ukatzen badu, tunela iritsi da, beraz kontua identitatea, lizentzia edo saio-muga da, ez kablean dagoen ezer. Erregistroak saio arrakastatsua jasotzen badu bezeroak oraindik hutsegitea salatzen duen bitartean, begiratu itzulera-bidea edo bi bezerori tunel-helbide bera ematen zaien.

Telefonoaren hotspotak familia horiek merke bereizten ditu: abiarazi bigarren bezeroa datu mugikorren bidez lehena konektatuta dagoen bitartean. Han arrakastak etxe-sarea seinalatzen du, eta han hutsegite berak atebidea seinalatzen du, routerra errugabe utziz. Emaitzetako bat ere ez da bere horretan erabakigarria, baina bakoitzak bilaketa-eremuaren erdia ezabatzen du saiakera bakarrean.

Idatzi emaitza ezer aldatu aurretik, erregistroaren hiru emaitzek hiru konponketa erlazionatugabera eramaten baitute. Hiruretako zein ikusi duzun izendatzen duen ohar batek bezero-errore baten pantaila-argazkiak baino gehiago balio du.

Zer egiten duen routerrak GRE eta NAT-T-rekin

PPTP da errudun klasikoa: kontrol-kanala TCP 1723 da, datu-bidea GRE, hau da, IP protokolo 47. Kontsumo-router askok kontrol-konexio bakarra jarraitzen duen PPTP laguntzaile bat dakarte, beraz NAT beraren atzeko bigarren bezero batek bere kontrol-kanala irekitzen du eta gero ez du datu-biderik batere jasotzen. 47 zenbakiko TCP ataka bat birbidaltzeak ez du ezer egiten GRErentzat, GRE protokolo-zenbaki bat delako, ez ataka bat.

L2TP IPsec-en gainean desberdin jokatzen du diseinuz: IKEk UDP 500 erabiltzen du, NAT zeharkatzeak babestutako karga UDP 4500era eramaten du, eta kapsulatzea hor dago hain zuzen helbide baten atzeko hainbat bezerok atebide berberera iristeko. Diseinu horrek ez dio atebideari edo tarteko kaxa bati helbide bakoitzeko saio-muga ezartzeko aukerarik kentzen, eta sofatik bi hutsegiteak berdinak dirudite. SoftEther-en jatorrizko protokoloak arazo-mota bera du: pasabide egokirik gabeko router batek tokiko sarerako lehen bezeroa onartzen du eta bigarrena botatzen du. Probatu routerraren ALG edo pasabide etengailua bi posizioetan, bezero zaharrago baterako idatzitako laguntzaile batek uneko bezeroak bidaltzen dituen paketeak honda baititzake.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Garraio-mugen itxura duten identitate-mugak

Routerra ez da susmagarri bakarra, eta erregistroak alternatibatik bereizten du. OpenVPN zerbitzari batek izen komun bat tunel-helbide bakarrera lotzen duenean, bi gailuek helbide hori jasotzen dute, eta duplicate-cn gabe saio berriagoak zaharragoa kanporatzen du. Aukera hori gaitzeak biak konektatuta uzten ditu, baina identitate bakar batekin, ziurtagiri batekin eta baliogabetze-erabaki batekin uzten ditu, dirudien baino okerragoa dena. Bigarren gailua ezingo da orduan inoiz bakarrik baliogabetu, beraz erosotasun-etengailu batek isilpean kentzen du geroago behar izan dezakezun kontrol bat.

Irakurri zerbitzariaren egunkaria eta egoera-fitxategia batera, batek autentifikazio-erabakia erakusten baitu eta besteak nor dagoen une honetan konektatuta. Izen komun bera eta helbide birtual bat partekatzen dituzten bi sarrerek identitate-kolazioa baieztatzen dute, ez routerraren muga bat. Atebide komertzialek beren mugak gehitzen dituzte, hala nola aldi bereko saio bakarra onartzen duen plan bat, lizentzia-kopuru bat edo helbide publiko bakoitzeko saio bat onartzen duen arau bat, eta routerraren ezarpen batek ere ez du horietako ezer aldatzen.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Egin konponketa erregistro-sarrerarekin bat

Erregistroko ukoak gailu bakoitzeko kredentzial bereiziak eskatzen ditu, zerbitzua kudeatzen duenaren muga handiagoa, edo atebide-puntu bigarren bat makina batentzat. Bigarren saiakerarik inoiz zerbitzarira iristen ez bada, konponketa iraunkorra protokoloa birbidaltzen duen eta saio bat baino gehiago eusten dituen router bat da, edo routerrak ondo darabilen garraiobide bat, adibidez TCP edo UDP fluxu bakarra. Horien artean hautatzea hardwarearen bizitza-iraupenari buruzko erabakia da, ez bezeroaren ezarpenei buruzkoa.

Ez kopiatu funtzionatzen duen gailu baten profila bigarren makinara eta eman lana amaitutzat. Horrek konexio-arazoa sarbide-kontrol arazo bihurtzen du, galdutako ordenagailu eramangarria ezin baita jada erabileran dagoen kopiatik bereizi. Jatorrizko akatsa ere ezkutatzen du, eta hori hirugarren gailu bat agertzen den unean itzultzen da.

Bi saio biziren egiaztapena

Konektatu bi gailuak aldi berean, exekutatu helmugako aplikazioa bakoitzean, gero berriz konektatu horietako bat eta errepikatu. Une batez agertzen den bigarren ikono batek ez du ezer frogatzen trafikoaz, eta hamar minutu ondoren erortzen den saioa beste akats bat da, beste arduradun batekin. Konparatu zerbitzariak amaieran jakinarazten duena erabiltzaileek ikusi zutenarekin, bi kontakizun horiek sarritan bat ez datozelako.

Bi saioak bizirik iraun eta trafikoa eramaten badute, konponbideak eusten du eta hasieran idatzi zenuen oharra gaizki zegoenaren erregistro bihurtzen da. Bakarrik bat bizi bada, itzuli lehen urratsera eta egiaztatu orain hiru erregistro-emaitzetatik zein duzun, erantzuna alda baitaiteke. Routerraren laguntzaileek beste sare batean berriro agertzen den arazoa maskara dezakete, helbide bakoitzeko mugak gailua baino erabiltzailea jarraitzen duen bitartean. Bigarren sare batetik probatzea da benetan zein konpondu duzun jakiteko modurik merkeena.