Déanann PPTP in Docker fíordheimhniú ach ní iompraíonn sé aon trácht

Déanann an cliant fíordheimhniú, déanann PPP idirbheartaíocht ar sheoladh, agus ansin ní ghluaiseann aon rud. Teipeann ar phing, teipeann ar an mbrabhsálaí, agus breathnaíonn an coimeádán ceangailte an t-am ar fad. Ní fadhb tábla ródaithe í an patrún sin, mar is gnách go mbristear an nasc rialaithe freisin nuair a bhíonn fadhbanna ródaithe ann. Is é cosán an ualaigh é, agus i PPTP is prótacal difriúil é an t-ualach ón gceann a d'éirigh leis anois díreach.

Cúig sheiceáil, san ord a shábhálann an t-am is mó.

Seiceáil 1: deighil an cainéal rialaithe ón ualach

Déanann PPTP fíordheimhniú thar TCP 1723 agus ansin iompraíonn sé ualach PPP taobh istigh de GRE, prótacal IP 47. Ní TCP ná UDP é GRE, mar sin ní deir gach riail a sheolann an port rialaithe aon rud faoi. Is féidir le NAT nó balla dóiteáin a ligeann 1723 tríd prótacal 47 a scaoileadh gan ghearán, agus fanann an seisiún leath-thógtha ar bhealach a bhreathnaíonn cosúil le rath.

Má oibríonn an logáil isteach agus mura dtagann aon phaicéad ar ais, glac le GRE ar dtús agus cruthaigh é ina dhiaidh sin.

Seiceáil 2: deimhnigh an cúntóir i gcích an óstaigh

Ní féidir le rianú nasc nasc rialaithe TCP a nascadh le sreabhadh GRE gan cúntóir. Is é nf_conntrack_pptp an modúl, maireann sé i gcích an óstaigh, agus ní bhaineann sé aon rud amach é a lódáil laistigh d'íomhá an choimeádáin mar go mbíonn modúil i bhfeidhm ar fud an óstaigh. Is é lsmod | grep nf_conntrack_pptp ar óstach Docker an tseiceáil. Mura bhfuil sé ann, lódálann modprobe nf_conntrack_pptp é don chích atá ag rith agus ní deir sé aon rud faoin gcéad tosaithe eile, mar sin cuir leis an gcumraíocht óstaigh é freisin.

Iompaíonn modúl a imíonn ar atosú ina thicéad céanna an mhí seo chugainn.

Seiceáil 3: léigh an pholasaí cíche a mhúchann é

Fiú nuair a bhíonn an modúl i láthair, socraíonn cíocha ó 4.7 ar aghaidh net.netfilter.nf_conntrack_helper go 0 de réir réamhshocraithe, rud a mhúchann sannta uathoibríoch cúntóra do gach prótacal. Is é an réamhshocrú sin an chúis nach ndéanann modúl atá suiteáilte i gceart aon rud fós: tá an cód ann agus deir an pholasaí gan é a úsáid. Tuairiscíonn sysctl net.netfilter.nf_conntrack_helper an luach reatha, agus má shocraítear é go 1 ag am rite bíonn an cúntóir ar fáil arís. Coinnigh an luach trí chumraíocht sysctl an óstaigh má cheadaíonn an dearadh é.

Ligeann sannta uathoibríoch do thrácht ionchais a chruthú go hintuigthe, agus is é sin go díreach an fáth ar athraíodh an réamhshocrú. Cuir teorainn leis an óstach iontaofa, nó úsáid riail shoiléir a dhíríonn ar an gcúntóir.

Seiceáil 4: féach ar chosán an choimeádáin ar leith

Ní chruthaíonn cúntóir lódáilte aon ród. Teastaíonn cosán ón gcoimeádán chuig an bhfreastalaí PPTP, agus caithfidh seoladh an óstaigh GRE a cheadú sa dá threo: taispeánann iptables -L FORWARD -v -n an nglactar le prótacal 47 agus an ngluaiseann na cruinnitheoirí. Aistríonn rialacha masquerade Docker TCP agus UDP, ní prótacal 47, mar sin b'fhéidir go dteastaíonn glacadh forward soiléir ó choimeádán droichid agus, ar roinnt óstach, a riail aistriúcháin féin. Deimhnigh freisin go bhfuil an tacaíocht gléis PPP ag an gcoimeádán a bhfuil a íomhá ag súil léi.

Léigh na cruinnitheoirí seachas téacs na rialach. Is maisiú riail a bhíonn ann agus nach n-airíonn aon rud.

Seiceáil 5: cruthaigh go bhfuil GRE á rianú, ansin socraigh faoi PPTP

Agus an cliant ag rith, léigh an tábla rianaithe. Ciallaíonn iontráil rialaithe PPTP bunaithe móide iontráil GRE ghaolmhar go bhfuil an cúntóir ag nascadh na sreabh agus go bhfuil an locht atá fágtha in áit éigin eile. Ciallaíonn iontráil rialaithe gan iontráil GRE go bhfuil an t-ualach á scaoileadh nó nach bhfuil sé á rianú, rud a chuireann ar ais chuig seiceálacha 2 agus 3 thú.

Tá PPTP féin seanchaite agus tá MS-CHAPv2 lag. Má thairgeann an freastalaí L2TP/IPsec, IKEv2 nó WireGuard freisin, baineann bogadh go ceann acu seo an aicme iomlán fadhbanna seo.

Nuair nach mór do PPTP fanacht, baineann an cliant a rith ar an óstach seachas laistigh de choimeádán sraith amháin NAT agus scagtha, rud is minic is cinneadh níos saoire.