Freastalaí PPTP taobh thiar de rótar baile: ceartaigh 1723 agus GRE ar dtús

Teipeann PPTP taobh thiar de rótar baile ar dhá shlí neamhghaolmhara, agus caitheann meascadh eatarthu tráthnóna iomlán. Is é an chéad chliseadh bearna sa seoladh ar aghaidh: cuireann an rótar TCP 1723 ar aghaidh agus scaoileann sé prótacal IP 47, mar sin fanann an cliant crochta ar earráid 619. Is fadhb mhéide an ceann eile: éiríonn an tollán, déantar é a fhíordheimhniú, agus ansin stopann sé nuair a chaithfidh pacáiste de mhéid iomlán dul trasna. Is é a fháil amach cé acu den dá cheann atá agat an chéad chéim cheart; déanann an chuid eile comparáid idir an méid is féidir le do rótar a chur in iúl, ní cé acu branda is fearr.

Dhá iompróir, agus níl port ach ag ceann amháin

Roinntear PPTP idir dhá iompróir: nasc rialaithe ar TCP 1723, agus frámaí PPP fillte i GRE feabhsaithe, is é sin prótacal IP 47. Níl uimhir phoirt ag GRE, mar sin ní féidir le riail a scríobhtar mar sheoladh ar aghaidh ar phort 1723 é a chlúdach, is cuma cén t-ainm a thugann an comhéadan gréasáin ar an réimse. Cuireann rótar baile bosca tice ar fáil de ghnáth ar a dtugtar PPTP passthrough in ionad riail phrótacail, agus déanann an bosca sin dhá rud: ligeann sé prótacal 47 tríd an mballa dóiteáin, agus múineann sé do NAT conas an sreabhadh GRE a leanúint. Ar rótar Linux is modúil ar leithligh agus rialacha ar leithligh iad na tascanna sin, agus sin an fáth a dtáirgeann passthrough leathchumraithe cainéal rialaithe oibre fós. Faigh amach cén leath atá ann sula n-athraíonn tú aon rud.

Caithfidh balla dóiteáin an fhreastalaí féin prótacal 47 a cheadú ó sheoladh an rótair freisin. Athchruthaíonn balla dóiteáin óstach nach nglacann ach 1723/tcp earráid 619 ón taobh istigh den LAN, rud a fhágann go bhfuil seoladh ar aghaidh briste agus riail óstaigh bhriste cosúil le chéile.

sudo iptables -S FORWARD | grep -i gre
sudo nft list ruleset | grep -i gre
lsmod | grep -E 'nf_conntrack_proto_gre|nf_nat_proto_gre'

Mura bhfuil na modúil ann, luchtaigh iad le sudo modprobe nf_conntrack_proto_gre nf_nat_proto_gre agus déan an luchtaithe buan, mar déanann atosú a dhéanann dearmad ar an gcúntóir tollán oibre a iompú ina earráid 619 arís. Ní gá don riail seolta ach prótacal 47 a ghlacadh i dtreo sheoladh an fhreastalaí, ní an LAN iomlán. Scarann an sainmhíniú in RFC 2637 an cosán rialaithe agus an cosán sonraí, agus sin an fáth nach gcuireann aon scáileán seolta poirt síos ar PPTP go hiomlán.

Bocsa tice passthrough nó riail phrótacail shainráite

Tá bocsa tice passthrough nach n-osclaíonn ach an balla dóiteáin níos gaire don cheart ná ALG a athscríobhann aitheantóirí glao. Tá leath an bhall dóiteáin intuartha, ós rud é go nglactar le prótacal 47 nó go scaoiltear é, agus deir na cuntair cé acu. Is é leath an athscríofa an áit a bhfuil difríocht idir monaróirí, mar tá aitheantóirí glao PPTP in aghaidh an tolláin agus caithfidh NAT a n-eagraíonn iad gach glao a leanúint a mbaineann sé leis. Nuair a nascann cliant amháin agus nach nascann beirt, is é an ALG an chéad duine a bhfuil amhras air.

Tá fadhb úinéireachta ag riail NAT cinn scríbe do 1723 freisin. Má sheolann seanriail 1723 fós chuig óstach a stop an freastalaí, tagann na pacáistí i dtír ar phort dúnta agus stopann seirbhís PPTP an rótair féin ag freagairt, rud a léitear mar chliseadh balla dóiteáin ach is sprioc sean-bhriste é i ndáiríre. Léigh an riail agus a ceann scríbe sula gcuireann tú an dara ceann leis. Ar rótair a chríochnaíonn PPTP iad féin, bíonn an riail WAN in iomaíocht leis an tseirbhís ionsuite, mar sin roghnaigh úinéir amháin do 1723 agus do phrótacal 47.

Is é dhá chliant taobh thiar den NAT céanna an cás a scarann seoladh ar aghaidh simplí ó cheann cliste. Is fearr a iompróidh seoladh phrótacal 47 gan na haitheantóirí glao a athscríobh ná cúntóir a dhéanann iarracht iad a cheartú.

Tomhais an tollán sula gcuireann tú an milleán ar an rótar

Laghdaíonn PPTP an t-ualach inúsáidte, agus is uimhríocht é an laghdú sin, ní mistéir. Iompraíonn gach pacáiste tolláin ceannteideal IP seachtrach, ceannteideal GRE feabhsaithe, ceannteideal PPP agus, le criptiú, ceannteideal MPPE. Nuair nach féidir leis an gcosán an fráma a éiríonn a iompar, téann pacáistí beaga tríd, críochnaíonn an logáil isteach, agus stopann an seisiún an chéad uair a sheolann aistriú comhaid nó croitheadh lámh TLS pacáiste de mhéid iomlán.

Ríomh an uimhir in ionad buille faoi thuairim a thabhairt. Cosnaíonn GRE feabhsaithe 8 mbeart, cosnaíonn PPP 4, cosnaíonn MPPE 4, agus cosnaíonn an ceannteideal IP seachtrach 20, mar sin itheann an tollán 36 beart sula bhfuil aon ualach ann. Ar WAN PPPoE a chríochnaíonn ag 1492, is é an PPP MTU is mó a fheileann 1492 lúide 36, is é sin 1456. Socraigh mtu agus mru ar an luach sin sna roghanna PPP agus tástáil arís le ping nach ndéanann ilroinnt.

ping -M do -s 1464 198.51.100.7
grep -E '^(mtu|mru)' /etc/ppp/options.pptpd

Tomhaiseann an ping an cosán, ní an tollán: líonann 1464 beart d'ualach móide 28 beart de cheannteidil IP agus ICMP fráma 1492 beart go beacht. Má theipeann ar an bpíng sin, ísligh an uimhir go dtí go n-éiríonn leis agus bain 36 den toradh. Cruthaíonn MTU tolláin atá socraithe os cionn theorainn an chosáin an reo gan aon líne lóig a dhéanann trácht ar mhéid.

PPTP, L2TP/IPsec nó OpenVPN ar an rótar céanna

Is féidir leis an rótar céanna aon cheann de na trí thollán coitianta a iompar, agus is é an difríocht ná an rud a chaithfidh sé a chur in iúl. Teastaíonn dhá riail ó PPTP i dhá shraith dhifriúla. Teastaíonn UDP 500 agus 4500 ó L2TP thar IPsec don mhalartú eochrach agus, mura n-iompraíonn NAT-T é, prótacal 50 don ualach. Teastaíonn port UDP amháin ó OpenVPN agus ní teastaíonn aon chúntóir uaidh ar chor ar bith.

Níl colún L2TP níos cairdiúla ná GRE go huathoibríoch. Is prótacal IP 50 é ESP agus níl port aige sin ach an oiread, mar sin féadann rótar a bhfuil deacracht aige le prótacal 47 a bheith i ndeacracht le prótacal 50 ar an gcúis chéanna. Tá NAT-T ann chun ESP a fhilleadh taobh istigh de UDP 4500, agus nuair a thacaíonn an dá cheann leis éiríonn an riail phrótacal 50 gan ghá. Is airí de na foircinn é sin, ní de bhosca PPTP an rótair. Deimhnigh cén ionchapsúlach a d'aontaigh an cliant i ndáiríre sula scríobhann tú rialacha don dá cheann.

Is é OpenVPN an rogha leis an líon is lú páirteanna gluaiste ar thaobh an rótair. Port UDP amháin, seoladh amháin ar aghaidh, gan aon chúntóir rianaithe nasc agus gan aon athscríobh ar aitheantóirí glao. Is é an malartú cliant a chaithfear a shuiteáil in ionad dhiailire ionsuite, agus is minic gurb é sin an t-aon chúis a bhfanann PPTP sa chomhrá.

Cad a dheisiú agus cad a athsholáthar

Tugann deisiú an tseolta agus an MTU tollán duit a oibríonn, ní ceann ar cheart duit a choinneáil. Tá fíordheimhniú MSCHAPv2 PPTP ionsaitheach le blianta, agus bogann tollán oibre dintiúir ar féidir iad a aisghabháil as líne. Má tá an gléas iargúlta in ann L2TP/IPsec nó OpenVPN a rith, caith leis an deisiú mar bheart sealadach a bhfuil dáta air.

Socraíonn an cinneadh de réir an méid a thacaíonn an fhoirceann iargúlta leis agus cé chomh fada is ceart don socrú maireachtáil. Faigheann gléas seanré a labhraíonn PPTP amháin an deisiú; aistrítear aon rud ar féidir cliant a shuiteáil air.

Sula ndúnann tú an ticéad, deimhnigh go maireann an cliant aistriú mór agus ní hamháin logáil isteach, agus go gcoinníonn an rótar a riail phrótacal 47 fós tar éis atosaithe. Tollán a éiríonn le cóip amháin comhaid agus a fhaigheann bás tar éis an chéad nuashonrú firmware eile níor críochnaíodh riamh é.