Ceanglaíonn PPTP agus ansin crochann sé taobh thiar de Linux NAT: an cúntóir GRE

Seolann duine 1723 ar aghaidh, sroicheann an cliant an freastalaí, tosaíonn an fíordheimhniú, agus ansin stopann gach rud gan earráid. Is é an chonclúid nádúrtha ná focal faire mícheart, mar sin clóscríobhtar an focal faire trí huaire eile. Bhí an t-ardú ar aghaidh ceart agus bhí na dintiúir ceart. Is é an rud a bhris ná dara prótacal nár chumhdaigh an t-ardú ar aghaidh riamh, agus réamhshocrú eithne a stop go ciúin de bheith ag cabhrú leis.

Níorbh é an t-ardú ar aghaidh an fhadhb riamh

Déanann riail ardaithe port cur síos ar thrácht TCP nó UDP. Ní féidir léi cur síos a dhéanamh ar pháillead a athraíonn go prótacal IP eile le linn seisiúin, agus déanann PPTP go díreach sin.

Sin an fáth a bhfuil an nasc sláintiúil go dtí an nóiméad a chrochann sé. D'éirigh leis an gcuid is féidir le riail phoirt a rialú, agus is é an chuid nach féidir léi a rialú an chuid a theip.

TCP le haghaidh rialaithe, GRE le haghaidh sonraí

Déantar an glaoch a idirbheartaíocht thar TCP 1723. Nuair a bhíonn sé suas, bogann an páillead isteach i GRE, prótacal IP 47, nach n-iompraíonn aon uimhreacha poirt ar chor ar bith. Níl aon rud le meaitseáil ag riail a bhraitheann ar phoirt.

Is é an rud a iompraíonn GRE ná aitheantóir glaonna ina cheanntásc, agus caithfidh an t-aistritheoir NAT an réimse sin a athscríobh go comhsheasmhach sa dá threo, nó stopann an dá leath den seisiún de bheith ag aontú lena chéile. Treo amháin athscríofa agus an ceann eile nach bhfuil, cruthaíonn sé seisiún a fhíordheimhníonn agus a chaitheann gach paicéad sonraí amach ansin. Is é sin go beacht cruth an tsiontóm: rath, ansin tost.

Ní gá aon athscríobh den sórt sin do lom-GRE gan PPTP, agus sin an fáth gur féidir le tollán GRE simplí oibriú trí ródaire a theipeann do chliant PPTP ar an gcosán céanna.

Ceithre mhodúl agus sysctl a mhúch iad

Déanann dhá mhodúl an fhrámaíocht a láimhseáil, nf_conntrack_proto_gre agus nf_nat_proto_gre. Déanann dhá cheann eile an t-aitheantóir glaonna a láimhseáil, nf_conntrack_pptp agus nf_nat_pptp. Tarraingíonn luchtú an chinn dheireanaigh na cinn eile isteach trí spleáchais, mar sin ba cheart do liosta modúl an ceithre cinn a thaispeáint.

Úsáideann treoracha níos sine réimír ip_ ó ré 2.6. Féadfaidh na horduithe sin a bheith cosúil le rith agus aon rud á lódáil acu, mar sin seiceáil an liosta lódáilte seachas an stádas scoir.

Ní leor iad a bheith lódáilte a thuilleadh. Ó Linux 4.7 tá an sysctl net.netfilter.nf_conntrack_helper réamhshocraithe go 0, rud a dhíchuireann sannadh uathoibríoch cúntóra do shruthanna nua. Is féidir le ródaire gach modúl a bheith aige agus fós gan aon rud a aistriú. Seiceáil an luach éifeachtach sula bhféachfaidh tú ar an liosta modúl arís.

Ceachtar cas sannadh uathoibríoch ar ais ar fud an domhain, nó ceangail an cúntóir leis na sruthanna a bhfuil sé ag teastáil uathu agus fág gach rud eile ina shuí:

iptables -t raw -A PREROUTING -p tcp --dport 1723 -j CT --helper pptp

Is é an dara rogha an ceann is fearr. Cuireann sé an t-iompar i bhfeidhm do thrácht PPTP amháin in ionad sannadh uathoibríoch a athchumasú ar fud an ródaire.

Prótacal gan poirt a oscailt

Ní deir riail balla dóiteáin a cheadaíonn 1723 aon rud faoi phrótacal 47. Ar firewalld, ceadaigh an prótacal sa chrios atá os comhair an chliaint. Ar iptables simplí, glac leis an bprótacal gre sa slabhra ionchuir.

Ansin gabh ar an dá thaobh. Ciallaíonn paicéid a fhágann an cliant gan aon fhreagraí ag teacht go bhfuil an cosán fillte scagtha, agus is locht difriúil é sin ó dhintiúr a diúltaíodh.

Tar éis dó ceangal, an teorainn mhéide

Cuireann GRE ceanntásc isteach, agus cuireann PPP laistigh de níos mó leis, mar sin tuairiscíonn nasc oibre MTU i bhfad faoi bhun 1500. Lódálann freagraí beaga agus stadann cinn mhóra, rud a fhéachann le dara fadhb neamhghaolmhar a bheith ag teacht chun solais díreach nuair a réitítear an chéad cheann.

Léigh an MTU ar oiriúnaitheoir PPP an chliaint agus réitigh é le ríomh an ródaire féin in ionad na huimhreacha a ísliú go dtí go n-oibríonn rud éigin. Paicéid de mhéid iomlán a fhágann gan aon rud ag teacht ar ais díríonn siad ar an teorainn sin seachas ar an aistriú.

Cuireann deisiú an chosáin an t-úsáideoir ag obair, agus ní dhéanann sé PPTP ina rogha mhaith. Tá MS-CHAPv2 agus RC4 as dáta le fada, mar sin caith le luchtú na modúl mar cheartú sealadach agus pleanáil bogadh go prótacal a chothaítear.