L2TP gan IPsec ar Linux: xl2tpd, pppd agus NAT

Is é L2TP lomnocht PPP i gclúdach, agus ní dhéanann sé aon rud eile. Iompraíonn sé do chreata; ní dhéanann sé iad a chriptiú agus ní chruthaíonn sé cé atá ag an taobh eile, agus sin an fáth a gcuireann beagnach gach imscaradh IPsec faoi. Tá fáthanna macánta ann fós chun an leagan lom a rith: binse saotharlainne, céim aistrithe, nó nasc atá cheana féin taobh istigh de chosán cosanta eile.

Má théann tú ar aghaidh, cuir an rabhadh sin sa nóta dearaidh agus fág ansin é. Seo a leanas an cosán oibriúcháin a úsáidim ar óstairí de theaghlach Debian agus RHEL: cén comhad a bhfuil cúram cad air, an MTU a choisceann an stad clasaiceach, agus na rialacha aistrithe a dhéanann an tollán fiúntach.

Roinneann trí chomhad an obair

Cuireann xl2tpd deireadh leis an nasc rialaithe agus tugann sé gach seisiún do dhaemon PPP, mar sin tá an chumraíocht scaipthe thar dhá chlár nach léann comhaid a chéile riamh. Tá an t-éisteoir ina chónaí in /etc/xl2tpd/xl2tpd.conf, taobh istigh de roinn [lns default] a ainmníonn an linn seoltaí le ip range, ceann an fhreastalaí le local ip, agus an t-aistriú chuig PPP le pppoptfile. Cuir require authentication = yes ar siúl, fág length bit agus flow bit cumasaithe, agus roghnaigh linn nach n-úsáideann aon rud eile ar an óstach cheana féin.

Baineann polasaí PPP leis an gcomhad a ainmníonn an rogha sin, de ghnáth /etc/ppp/options.xl2tpd: auth, diúltuithe do pap, chap agus mschap, require-mschap-v2, MTU agus MRU de 1460, agus seoladh DNS ar féidir leis an gcliant teacht air tar éis an nasc a ardú. Is tríú comhad arís iad na dintiúirí, /etc/ppp/chap-secrets, áit a gcaithfidh an dara réimse teacht le hainm roinn LNS agus ar féidir leis an gceathrú réimse seoladh ar leith ón linn a phionnáil.

Cén fáth a nascann an tollán agus a stopann sé ansin

Ní luíonn fráma Ethernet de 1500 beart taobh istigh de chosán a chaitheann bearta cheana féin ar a cheanntáisc féin. Cosnaíonn an ceanntásc IPv4 seachtrach 20, cosnaíonn UDP 8, agus cosnaíonn ceanntásc L2TP thart ar 12, rud a fhágann 1460 do PPP agus dá phálaid. Is é fógraíocht an fhigiúir bhig sin i PPP a choisceann paicéid mhóra a bheith ilroinnte nó a scaoileadh go ciúin áit éigin sa lár.

Is é an siomptóm tollán a bhíonn sláintiúil go dtí go dtagann fíorthrácht: téann pingí agus teachtaireachtaí rialaithe tríd, crochann cóip comhaid, agus ní mhíníonn aon rud sa logáil é. Ísligh MTU agus MRU le chéile ag an dá cheann. De ghnáth iompaíonn coigeartú an chliaint amháin stad crua ina stad eatramhach, rud is measa le diagnóis.

Iompraíonn aon phort amháin dhá chomhrá

Tá UDP 1701 faoi dhá leath an phrótacail, agus briseann an t-aon fhíric sin níos mó rialacha balla dóiteáin ná aon chuid eile den socrú. Tagann iarratas tosaigh nasc rialaithe agus a fhreagra ar dtús; ní dhaingníonn an t-iarratas seisiúin agus an deimhniú a leanann iad aon rud níos mó ná an péire aitheantóirí. Tógann PPP ansin é: rialú naisc, ansin fíordheimhniú, ansin prótacal rialaithe IP chun seoltaí a shocrú. Tá a stór focal féin ag gach céim sa logáil, agus ní fhógraíonn aon cheann acu féin mar chliseadh L2TP.

Insíonn léamh gabhála go díreach san ord sin duit cén chéim a theip, agus ní dheiseofar cliseadh fíordheimhnithe PPP trí xl2tpd a chur in eagar. Míníonn an port roinnte cliseadh coitianta eile: ligeann riail nach gceadaíonn ach chéad phaicéid sreafa don seisiún bunú agus ansin blocálann sí an t-aistriú. Ceadaigh 1701 don chomhrá iomlán, sa dá threo.

An tollán a dhéanamh úsáideach: aistriú agus NAT

Ní shroicheann seisiún ann féin ach an freastalaí. Teastaíonn aistriú ó rochtain idirlín an chliaint, riail NAT don linn ar an nasc suas, agus DNS ar féidir leis an gcliant fíor-iarratas a dhéanamh air tar éis an nasc a ardú. Caithfidh an linn fanacht glan ó raon an LAN freisin, nó seachadtar freagraí atá dírithe ar chliaint go háitiúil in ionad iad a bhrú ar ais isteach sa tollán.

Ar an bhfreastalaí, cumasaigh aistriú le sysctl -w net.ipv4.ip_forward=1, aistrigh an linn le iptables -t nat -A POSTROUTING -s 10.44.0.0/24 -o eth0 -j MASQUERADE, agus ansin glac le trácht amach an tolláin le riail FORWARD do -i ppp0 -o eth0 agus trácht fillte leis an riail scátháin móide -m state --state RELATED,ESTABLISHED. Déan na rialacha sin buan thar atosuithe, mar tá freastalaí a fhilleann gan iad go díreach cosúil le cumraíocht L2TP bhriste.

Tasc eile is ea LAN an fhreastalaí féin a shroichint: cuir bealach fillte don linn ar ródaire an LAN, nó proxy ARP ar an bhfreastalaí. Ní dhéanann cliaint a cheilt taobh thiar de NAT nuair a chaithfidh rud éigin sa LAN aghaidh a thabhairt orthu go díreach ach an dara seisiún dífhabhtaithe a sceidealú don am atá le teacht.

Cad nach ndéanann an charm lom, agus conas é a fhíorú

Ní chriptíonn aon chuid den charm seo na frámaí PPP, agus ní fhíordheimníonn aon rud ann an taobh cianda mar an freastalaí a roghnaigh tú i ndáiríre. Cé go gcosnaíonn MS-CHAPv2 an malartú dintiúirí ó éisteoir nach bhfuil ach ag breathnú, is féidir le hionsaitheoir atá suite sa chosán cur isteach ar an seisiún fós. Ní thairgeann cliant dúchasach Windows L2TP ach i gcomhar le IPsec, mar sin déan cuntar ar Linux, firmware ródairí agus cliaint tríú páirtí mar do phiaraí. Caith leis an gcumraíocht lom mar chéim dhiagnóiseach, riamh mar an áit le stopadh.

Fíoraigh in ord seasta: rith xl2tpd -D sa tulra, breathnaigh an logáil don chéim PPP, léigh an seoladh a leithdháileadh ó ip addr ag an dá cheann, agus ansin gabh UDP 1701 chun a dheimhniú go sreabhann sonraí tar éis an seisiún a ardú. Má thagann na ceithre rud le chéile agus má theipeann ar an trácht fós, tá an locht ar ródú, NAT nó MTU seachas ar L2TP féin.