VPN-tunnel ferbynt nea: wêr't de pakketten eins stopje

In tunnel dy't nea foarmet, lit oan beide kanten in leech log efter. Spoarje nei oft GRE, ESP of UDP 4500 weilitten wurdt, en fyn carrier-NAT foar't jo de server bewurkje.

De klient besiket hieltyd op 'e nij, it log stoppt foar't de handshake foltôge is, en de server registrearret hielendal neat. Dat patroan wiist fuort fan 'e ynloggegevens en nei it paad: eat tusken de twa kanten wegert it protokol te dragen dat de tunnel nedich hat. Bepaal wêr't de pakketten stopje foar't jo ien fan 'e beide konfiguraasjes oanreitsje, want in filtere protokol en in ferkeard wachtwurd jouwe yn 'e measte klanten deselde freonlike flater. De tests binne oardere nei kosten, de goedkeapste earst.

Bewiis wêr't it ferkear stoppet

Fang tagelyk op 'e útgeande ynterface fan 'e klient en op 'e server. Ferlykje wat fuortgien is mei wat oankaam, en skriuw op yn hokker rjochting it ferskil ferskynt.

Neat op 'e server betsjut dat it paad of de earste NAT ferkear weilitten, wylst oankomsten sûnder antwurden op in firewall op 'e server of in weromrûte dy't net bestiet, wize. In router dy't geregeld tunnels beëiniget, hâldt faak gjin brûkber log by, dus de opname wurdt de registraasje. Skriuw de bestimmingspoarte en it protokolnûmer op, want beide flaters sjogge der itselde út yn in klientedialooch.

PPTP stjert sûnder protokol 47

PPTP draacht kontrôle op TCP 1723 en syn gegevens yn GRE, dat IP-protokol 47 is en gjin poartenûmer. Allinnich 1723 trochjaan jout it klassike resultaat: de ferbining autentisearret en wurdt dan stil, om't der gjin regel is foar it protokol dat de lading draacht. De klient kin dat net fan in wegere wachtwurd ûnderskiede, dêrom moat de opname foar de konfiguraasjewizigings komme.

Passthrough rint yn 'e tsjinoerstelde rjochting fan in ynkommende trochjefte, en firmware brûkt faak genôch ien label foar beide om elkenien te ferbûgjen. Op in Linux-klient kin de lokale firewall GRE lang foar't de router belutsen is, weilitte, dus protokol 47 hat syn eigen regel nedich en de conntrack-helper moat laden wêze. Ubuntu's ufw hâldt dy regels yn 'e before-triem, om't gewoane allow-regels gjin protokolnûmer útdrukke kinne. Werlade de firewall dêrnei ynstee fan de masine opnij te starten.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP en IPsec efter twa NAT's

L2TP yn IPsec hat UDP 500 nedich foar de kaai-útwikseling, UDP 4500 as NAT ûntdutsen wurdt, en ESP as protokol 50. Elk fan dy wurdt apart filtere, dus in regel dy't ien tastiet bewiist neat oer de oare twa. Twa routers efterinoar oersette elk pakket twaris, en de einen binne it net mear iens oer wat der ûnderhannele is.

Bride it bûtenste modem, of set NAT út op 'e binnenste router, sadat it iepenbiere adres it apparaat berikt dat de tunnel beëiniget. Wêr't gjin fan beide kin, moat de tunnel fan binnen de dûbele NAT-grins út begûn wurde, net dêr beëinige.

Netwurken fan oanbieders en adresdiele

In WAN-adres binnen 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 of 100.64.0.0/10 betsjut dat de router gjin iepenbier adres hat en gjin ynkommende trochjefte fan it ynternet him berikke kin. NAT op oanbiedernivo filteret dêrnjonken protokollen dy't it net ferwachtet, en GRE is in faak slachtoffer op mobile ferbiningen. Ferlykje it WAN-adres op 'e router sels, net it adres dat in sykside foar in klient efter him rapportearret.

Deselde router op in keabelrinne rinne litte skiedt in befinning oer de oanbieder fan in konfiguraasjeflater yn ien test. Wêr't de oanbieder it protokol wegert, binne de oerbleaune opsjes in oar ferfier op 443 of in tunnel dy't fan binnen begûn wurdt.

Lês de list fan harkers foar't jo poarten slute

In alarmearjende poartescan is faak gewoan de funksjeset dy't oanlevere wurdt. Ynventarisearje de harkers, keppelje elke socket oan in funksje, en set dan de funksje út ynstee fan de poarte te blokkearjen, sadat de twa bylden net útinoar rinne.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

De standertwearden fan SoftEther binne in goed foarbyld: TCP 443, 992 en 5555, wêrby't de funksjes L2TP/IPsec en DNS-tunnel har eigen sockets tafoegje. Dy funksjes útsette hellet de harkers fuort ynstee fan se te ferbergjen, en de test fan in eksterne host fertelt jo oft de oanbieder de poarte hielendal trochlitte. In harker dy't lokaal antwurdet, kin noch altyd stroomop sletten wêze, dus ferlykje it eigen WAN-adres fan 'e router mei wat in eksterne tsjinst rapportearret.

Relatearre artikelen