Meaitseáil cliant VPN Linux le prótacal an fhearais shean

Clúdaíonn ceithre theaghlach prótacail beagnach gach fearas atá fós i raca, agus teipeann ar gach ceann acu ar bhealach difriúil ar Linux. Is iad na portanna foilsithe agus na moltaí cumraithe ag an bhfadchríoch a shocraíonn do phacáiste, ní an dáileadh a ritheann tú de thaisme. Suiteáil an rud a luaitear i bpost fóraim agus ansin a chur in eagar go dtí go nascann rud éigin — sin mar a théann tráthnóna amú. Léigh an fearas, suiteáil sa dara háit, fíoraigh sa tríú háit.

Taifead a bhfoilsíonn an fhadchríoch

Scríobh síos an prótacal, na portanna agus an fhíordheimhniú a bhfuil súil ag an bhfearas leo sula n-osclaíonn tú bainisteoir pacáistí. Clúdaíonn ceithre theaghlach an chuid is mó de sheanthrealamh, agus is é an tábla thíos an cinneadh ar fad ar aon scáileán amháin.

Tá an lámhleabhar agus rialacha balla dóiteáin an fhearais féin níos iontaofa ná ainm an phrótacail ar a leathanach logála isteach. B'fhéidir nach labhrann gléas a fhógraíonn IPsec ach IKEv1, agus b'fhéidir gurb é eisiúint firmware nár chuir aon duine i bhfeidhm an rud a chuireann IKEv2 leis sa deireadh. Deimhnigh an cosán sonraí chomh maith leis an bport socraithe, óir is ansin a easaontaíonn seanthrealamh agus líonraí nua-aimseartha. Má dhéantar botún sa chéim seo, bíonn tú ag dífhabhtú do chliaint i gcoinne gné nach raibh ag an bhfadchríoch riamh.

PPTP: cruthaigh GRE sula n-athraíonn tú pppd

Ní daemon a thosaíonn tú atá i PPTP ar Linux ach glao ar pppd, agus maireann paraiméadair an naisc i gcomhad peer ainmnithe a léann pppd nuair a ghlaoitear air. Pacáistíonn dáiltí é fós, cé go bhfágann laigí aitheanta an phrótacail é mí-oiriúnach do rud ar bith íogair, mar sin coinnigh go docht é d'fhearás nach dtairgeann aon rud eile. Breathnaigh ar GRE agus an cliant ag idirbheartú, le gabháil ghairid seachas buille faoi thuairim. Ní hé an fhíordheimhniú an teip is mó a chaitheann am ach an cosán sonraí atá ar iarraidh.

pppd call branch-office
tcpdump -ni any proto gre -c 5

Má chríochnaíonn an socrú agus mura n-iompraíonn an nasc trácht riamh, bíodh amhras ort faoin gcosán GRE sula ndéanann tú teagmháil le dintiúirí. Teastaíonn riail shainráite do phrótacal 47 ó ghrúpaí slándála scamall, agus cuireann roinnt líonraí bac iomlán air gan earráid infheicthe. Tástáil ón líonra a úsáidfidh tú i ndáiríre, ní ó shaotharlann a cheadaíonn gach rud.

L2TP/IPsec: sáraíonn moladh amháin oiriúnach deich n-iarracht

Léigh log an daemon seachas dialóg an deisce, óir comhcheanglaíonn an dialóg roinnt teipeanna éagsúla in aon teachtaireacht amháin. Baineann earráid NO_PROPOSAL_CHOSEN leis an gcéad chéim: thairg an cliant criptiú, hais nó grúpa Diffie-Hellman nach nglacfaidh an freastalaí leis. Liostaigh a bhfuil tacaíocht ag an bhfearas dó agus scríobh moladh amháin a oireann dó, óir is minic a tháirgeann teaglaim randamacha an earráid chéanna níos moille. Ar dheasc is é an cliant praiticiúil an breiseán NetworkManager L2TP le strongSwan nó Libreswan faoi.

Is féidir le sreang mholta a chiallaíonn rud amháin do bhreiseán deisce rud eile a chiallú don daemon a dtugtar an obair dó, mar sin coinnigh an chomhréir oiriúnach don tsraith atá á cur in eagar agat. Má éilíonn an fearas rún tolláin freisin, is céim ar leith é sin ón eochair IPsec. Deimhnigh cé acu den dá rud atá á lorg ag an gcomhéadan sula gclóscríobhann tú rud ar bith ann.

IKEv1 ionsaitheach le XAuth, agus cás an tairsigh

Is gnách go dteastaíonn ó chríochphointe ar stíl FortiGate mód ionsaitheach le XAuth agus seoladh i mód cumraithe, rud nach nochtann breiseán grafach ar chor ar bith b'fhéidir. Láimhseálann an daemon dúchais é, agus is é an bloc thíos foirm an chumraíochta sin seachas comhad iomlán. Féach ar dhoiciméadú reatha an díoltóra do luachanna an mholta.

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

D'úsáid eisiúintí níos sine de strongSwan xauth=client áit a n-úsáideann leagan 5 leftauth2=xauth, mar sin is féidir le blúire cóipeáilte teip ar chomhréir amháin. Do thairseach TLS, láimhseálann openconnect, a labhraíonn prótacal AnyConnect, Cisco agus an chuid is mó de bhrandaí athainmnithe, agus teastaíonn gléas TUN uaidh móide na pribhléidí chun é a chumrú. Cuir seoladh na tairsigh ar aghaidh go díreach mar a thaispeánann an brabhsálaí é, lena n-áirítear aon chosán a bhfuil súil ag an bhfearas leis, ansin seiceáil an seoladh a shanntar sula dtástáil tú aon rud taobh thiar de. Má chruthaítear an comhéadan roimh ré, baintear aicme amháin de iontas le linn an tsocraithe.

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

Nigh, ansin fíoraigh in ord seasta

Rith bainisteoir VPN amháin go díreach ag an am, óir beidh próifíl NetworkManager agus daemon a tosaíodh de láimh ag troid faoi bhealaí agus DNS. Ísligh an phróifíl sula dtástáil tú nasc láimhe, agus deimhnigh nach bhfuil aon chomhéadan tolláin sheanbhunaithe fós ann. Ansin fíoraigh san ord seo: seoladh an tolláin, bealach chuig an aon óstach inmheánach a theastaíonn uait, réiteach ainmneacha, agus ar deireadh iarratas iarbhír. Ní chruthaíonn deilbhín glas ach an fhíordheimhniú, agus sin uile.

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

Má theipeann ar chéim, stopadh ansin seachas an chéad cheim eile a thástáil, óir ní mhúineann teip DNS i ngar do bhealach briste aon rud duit. Sábháil cóip den phróifíl oibre sula ndéanann tú turgnamh, óir is furasta comhad naisc a scriosadh a chailleadh agus is trom obair é a atógáil. Coinnigh luachanna an mholta sa nóta céanna le múnla an fhearais agus leagan an fhirmware, óir is é an nóta sin an difríocht idir aistriú agus tionscadal seandálaíochta nuair a chuirtear an bosca in ionad.