Teipeann ar L2TP/IPsec: aonlaigh IPsec, fíordheimhniú tolláin nó logáil isteach PPP

Trí rud a dhéanann fíordheimhniú laistigh de nasc amháin L2TP/IPsec, agus ní bhaineann ach ceann acu leis an duine atá ag diailiú isteach. Cruthaíonn IPsec na críochphointí tolláin, féadfaidh an nasc rialaithe L2TP na piaraí a chruthú arís lena rún féin, agus ansin cruthaíonn PPP an cuntas úsáideora laistigh den seisiún. Breathnaíonn teip ag aon chéim mar earráid logála isteach ghinearálta i ndialóg an chliaint agus breathnaíonn sí go hiomlán difriúil i log freastalaí. Oibrigh síos na céimeanna in ord agus stop ag an gcéad cheann a theipeann, mar tá gach céim faoi bhun ceann nár tástáladh gan tástáil freisin.

Trí chéim fhíordheimhnithe, trí fhéiniúlacht éagsúla

Cruthaíonn IPsec cé leis na críochphointí, trí eochair réamhroinnte nó trí dheimhniú. Baineann an fhéiniúlacht sin le meaisíní nó le geataí, riamh leis an duine ag an méarchlár. Nuair nach féidir leis na piaraí teacht ar aontú ag an gcéim seo, ní mhalartaítear aon phacáid L2TP ar chor ar bith.

Is féidir leis an nasc rialaithe L2TP dara malartú dúshláin-fhreagra ar leith a chur leis, á stiúradh ag rún comhroinnte a chaithfidh an dá cheann a bheith acu.

Fágann RFC 2661 an fíordheimhniú sin ar an nasc rialaithe roghnach, rud a mhíníonn cén fáth a dtugann an dearmad céanna comharthaí éagsúla ar dhá fhreastalaí. Scaipeann imscaradh nár chumraigh rún tolláin riamh an chéim ar fad; teipeann ar cheann a chumraigh é ar aon taobh amháin sula dtairgtear PPP ar chor ar bith. Ansin fíordheimhníonn PPP an t-úsáideoir le PAP, CHAP nó MSCHAPv2 agus tugann sé an t-ainm do stór cuntas a d'fhéadfadh a bheith logánta, i chap-secrets, nó ar RADIUS. Fágann pasfhocal mícheart ag an bpointe sin tollán oibre agus seisiún teipthe agat fós.

Léigh an pointe stoptha sula n-athraíonn tú cumraíocht

Tosaigh le ipsec --version ionas go mbeidh a fhios agat an le strongSwan nó le Libreswan an t-aschur stádais. Ansin léigh log an fhreastalaí, ní dialóg an chliaint, mar thaifeadann an freastalaí cé an chéim a dhiúltaigh.

De ghnáth réitíonn líne amháin an ticéad: is céim a haon gearán IKE nó togra, is céim a dó teachtaireacht faoin nasc rialaithe, agus is céim a trí diúltú modha PPP nó diúltú cuntais. Cóipeáil an líne sin isteach sa ticéad leis an stampa ama. Cuireann buille faoi thuairim ó thaobh an chliaint amú an t-aon phíosa fianaise atá agat cheana.

Coinnigh ábhar eochrach agus pasfhocail as an bpíosa greamaithe sin; stiúrann ainm na céime an obair, agus osclaíonn eochair réamhroinnte sceite an ticéad arís le hiarmhairtí níos measa.

Céim a haon: an bhfuil comhlachas ag IPsec?

Rith ipsec statusall ar strongSwan nó ipsec whack --status ar Libreswan agus féach ar chomhlachas linbh bunaithe le háirimh nach bhfuil nialasach. Taispeánann ip xfrm state radharc an eithne ar an dá cheann. Ciallaíonn péire SAanna suiteáilte agus na háirimh ag dreapadh go bhfuil céim a haon déanta agus gur féidir leat dul ar aghaidh.

Tagraíonn easpa comhlachais ar fad do sheoladh an phiara, don tacar tograí, nó don eochair réamhroinnte, agus uaireanta do ghléas a athscríobhann UDP 500 agus a ligeann UDP 4500 ar lár. Is éard a bhíonn i gcomhlachas a bhunaítear agus a imíonn tar éis cúpla soicind de ghnáth ná mí-chomhoiriúint saolré idir an dá cheann seachas fadhb dhintiúir. Seiceáil an liostaíonn an dá thaobh na tograí criptithe agus haise céanna sula n-athchlóscríobhann tú aon rud. Mura ndéanann, ní oibreoidh aon eochair riamh.

Stop agus an comhlachas ar iarraidh. Ní athraíonn eagar roghanna PPP ag an bpointe sin aon rud agus folaíonn sé an fíor-loic ón gcéad duine eile.

Céim a dó: ar fhíordheimhnigh an nasc rialaithe L2TP?

Nuair a bhíonn IPsec suas, féach ar an daemon L2TP le haghaidh nasc rialaithe a shroicheann stát bunaithe, ós rud é nach féidir le PPP tosú roimhe sin. Ciallaíonn diúltú ar an nasc rialaithe go bhfuil rún an tolláin difriúil idir na foircinn, nó go n-éilíonn aon fhoirceann rún nach seolann an ceann eile riamh. Is minic a nochtaíonn cliaint réimse amháin ar a bhfuil an lipéad shared secret, agus is le IPsec seachas le L2TP a bhaineann sé de ghnáth. Ní chumraíonn líonadh isteach é rún an tolláin, agus ní dhíghníomhaíonn glanadh é.

Mura bhfuil rún tolláin cumraithe ag an dá thaobh, scipeáil an chéim seo agus caith le teip an naisc rialaithe mar inrochtaineacht ina ionad. Deimhnigh go sroicheann UDP 1701 an daemon agus go n-aontaíonn an dá cheann ar an ionchapsú céanna. Is minic gur riail balla dóiteáin a scríobhadh do cheann amháin den dá choinníoll sin is cúis le nasc a osclaíonn a leath.

Níor ghlan ach seisiún a thosaíonn ag idirbheartú PPP céim an tolláin i ndáiríre.

Céim a trí: an bhfuil PPP ag diúltú don chuntas?

Breathnaíonn teip PPP difriúil ón taobh amuigh: bíonn an tollán bunaithe, tosaíonn an seisiún, agus taifeadann an daemon teip mhodha fhíordheimhnithe nó diúltú cuntais. Léigh an modh a ainmnítear sa teachtaireacht sin. Teipeann PAP agus CHAP ar chúiseanna éagsúla, agus diúltóidh freastalaí a dhiúltaíonn do cheann acu do chliant nach dtairgeann ach an ceann sin.

Ar fhreastalaí Linux, scrúdaigh an comhad roghanna a chuireann an daemon chuig PPP, go hiondúil /etc/ppp/options.xl2tpd, agus deimhnigh cé na modhanna a nglactar leo agus cá réitítear cuntais. Teipeann go glan ar ainm atá i RADIUS ach nach bhfuil sa chomhad rún logánta agus breathnaíonn sé cosúil le pasfhocal lofa. Ansin seiceáil go dtairgeann an cliant modh a nglacann an freastalaí leis, seachas ceann níos láidre a dhiúltaíonn an freastalaí a idirbheartú. Cuireann athrú na heochrach réamhroinnte chun an chéim seo a dheisiú tráthnóna amú agus ní athraíonn sé faic.

Nuair a thagann an seisiún suas faoi dheireadh, sannadh seoltaí, DNS agus róid fós gan seiceáil, agus teipeann ar gach ceann go ciúin ar a bhealach féin. Coinnigh na trí shraith ar leith i do nótaí: teipeann i gcónaí ar eochair cheart le cuntas mícheart, agus ní dheisíonn deisiú sraithe amháin sraith eile.