Níl tollánú scoilte PPTP ag obair: deisigh conair GRE ar dtús

Féach ar nasc PPTP ag éirí agus is furasta a chreidiúint go bhfuil an chuid deacair déanta: déanann an cliant féinchórasú, tagann oiriúnaitheoir ppp0 nó WAN Miniport chun solais, agus iompaíonn an fhuinneog stádais glas. Ansin téann an chéad iarratas chuig óstach inmheánach as feidhm, agus cuirtear an milleán ar an phróifíl. Go praiticiúil tá dhá shraith neamhspleácha le glanadh: an t-iompar seachtrach a iompraíonn TCP 1723 agus GRE, agus an beartas inmheánach a shocraíonn cé na cinn scríbe a úsáideann an chomhéadan PPP. Ní chruthaíonn stádas glas ach go ndearna an chéad sraith idirbheartaíocht; ní deir sé aon rud faoin dara ceann.

Lean an cliant ón phróifíl go dtí an soicéad rialaithe

Oscail log an chliaint agus aimsigh an pointe ina ndéanann sé teagmháil leis an fhreastalaí. Osclaíonn PPTP nasc TCP chuig port 1723 ar dtús agus déanann sé idirbheartaíocht ar pharaiméadair an tolláin thar an chainéal sin. Má theipeann ar an chéim seo, ní dhéanann aon rud ina dhiaidh sin difríocht, agus de ghnáth luann an earráid seoladh an fhreastalaí nó am istigh.

Deimhnigh an nasc rialaithe ar an sreang sula ndéanann tú teagmháil le haon chonair. Ar an chliant nó ar phort scátháin, gabh TCP 1723 le haghaidh aon iarracht naisc amháin:

sudo tcpdump -ni any 'tcp port 1723' -c 20

Ciallaíonn croitheadh láimhe críochnaithe agus seisiún bunaithe go bhfuil an chainéal rialaithe sheachtrach ag obair. Cuireann SYN nach bhfaigheann SYN-ACK riamh in iúl balla dóiteáin, seoladh freastalaí mícheart, nó soláthraí a dhéanann scagadh ar an phort. Is minic a chiallaíonn croitheadh láimhe agus athshocrú láithreach ina dhiaidh gur dhiúltaigh an freastalaí do na dintiúirí nó do chineál an tolláin.

Is dara prótacal é GRE, ní port

Iompraíonn PPTP an t-ualach PPP taobh istigh de GRE feabhsaithe, prótacal IP 47, nach bhfuil aon uimhir phoirt aige le go bhféadfadh ródaire é a leanúint. Sin an fáth ar féidir le riail a cheadaíonn TCP 1723 an tollán a fhágáil gan chonair sonraí fós. Caithfidh feistí NAT stáit an t-aitheantóir glaonna taobh istigh de GRE a thuiscint chun freagraí a mhapáil ar ais, agus ní dhéanann go leor acu é. Coinníonn sonraíocht PPTP an chainéal rialaithe agus ualach GRE mar phíosaí ar leith, agus caithfidh do phlean tástála é sin a dhéanamh freisin.

Féach ar phrótacal 47 sa ghabháil chéanna, ansin cuir i gcomparáid an rud a théann amach leis an rud a thagann ar ais:

sudo tcpdump -ni any 'proto gre' -c 20

Is iad na paicéid a théann amach gan freagraí, agus TCP 1723 fós sláintiúil, síniú clasaiceach GRE blocáilte. Is gné den fhormhuineáir shonrach sin é passthrough PPTP ar ródaire tomhaltóra, mar sin ní chruthaíonn líonra óstáin atá ag obair aon rud faoin chéad cheann eile. Mura dtugann an ródaire passthrough agus mura féidir leat é a athrú, is é rogha an phrótacail an fhadhb, ní an tábla ródaithe.

Cruthaigh go mbogann an tollán paicéad amháin

Nuair a shreabhann GRE, sanntar seoladh don chomhéadan cliaint le linn idirbheartaíochta PPP. Léigh an sannadh in ionad é a ghlacadh mar rud cinnte:

ip -4 addr show ppp0

Déan ping ar sheoladh an phiar a thaispeántar mar cheann scríbe an naisc phointe-go-pointe. Cruthaíonn freagra ag an chéim seo go n-oibríonn an chonair imfhálaithe ó cheann go ceann agus go bhfreagraíonn an freastalaí taobh istigh den tollán. Má fhreagraíonn an piar ach nach bhfreagraíonn óstaigh inmheánacha, tá an t-iompar seachtrach ceart agus tá an mhainneachtain tar éis bogadh isteach.

Déan é seo sula gcuireann tú aon chonair scoilte leis. Cruthaíonn athrú conaire a dhéantar agus an t-iompar briste athróg dara agus folaíonn sé an chéad cheann.

Scríobh an beartas scoilte, DNS san áireamh

Is liosta cinntí é ródú scoilte, ní bosca seiceála. Teastaíonn conair tríd an chomhéadan PPP ó gach réimír phríobháideach a chaithfidh dul tríd an tollán, agus caithfidh gach réimír a chaithfidh fanacht áitiúil a bheith as láthair uaidh. Is bealach coitianta chun briseadh a chruthú a fhéachann cosúil le haip briste é conair chuig foshlíonra feidhmchláir gan chonair chomhfhreagrach chuig a réititheoir príobháideach.

Seiceáil an cinneadh a dhéanann an eithne d’aon seoladh i ngach catagóir:

ip route get 10.20.5.10
ip route get 203.0.113.25

Ba chóir don chéad cheann ppp0 a ainmniú, agus don dara ceann an gnáthgheata. Má ainmníonn an dá cheann an comhéadan céanna, níl an beartas scoilte ar chor ar bith. Cuir seoladh an fhreastalaí DNS féin leis an liosta tolláin, nó téann réiteach ainmneacha d’óstaigh inmheánacha amach tríd an réititheoir áitiúil agus ní thugann sé aon rud úsáideach ar ais.

Seiceáil in-athdhéanta i gcúig chéim

Rith na sraitheanna in ord agus stop ag an chéad cheann a theipeann: chainéal rialaithe, infheictheacht GRE, freagra piar PPP, conair scoilte d’aon seoladh inmheánach, agus iarratas feidhmchláir thar an tollán. Tá a ordú féin ag gach céim, mar sin is féidir mainneachtain a chur i leith ruda in ionad a bheith mistéireach.

Féachann leagan dlúth do chliant Linux mar seo:

sudo tcpdump -ni any 'tcp port 1723 or proto gre' -c 40
ip -4 addr show ppp0
ping -c 3 192.0.2.1
ip route get 10.20.5.10

Ar Windows tá an t-ord céanna i bhfeidhm le route print agus stádas an oiriúnaitheora a thaispeántar sa chliant. Is prótacal oidhreachta é PPTP, agus má thairgeann an freastalaí SSTP nó IKEv2, is gnách gur úsáid níos fearr ama é bogadh ná conair a thiúnadh atá ag brath ar phrótacal 47 a rith ag gach léim. Seiceáil deimhniú agus conradh fíordheimhnithe an ionadaí in ionad próifíl shean a chóipeáil isteach i scaoileadh nua.