Ní nascann tollán VPN riamh: cá stadann na paicéid i ndáiríre

Coinníonn an cliant ag iarraidh arís, stopann an log sula gcríochnaítear an chroitheadh láimhe, agus ní thaifeadann an freastalaí aon rud ar chor ar bith. Treoraíonn an patrún sin ó na dintiúirí i dtreo an chosáin: diúltaíonn rud éigin idir an dá cheann an prótacal a iompar a theastaíonn ón tollán. Socraigh cá stadann na paicéid sula ndéanann tú teagmháil le ceachtar den dá chumraíocht, mar cruthaíonn prótacal scagtha agus focal faire mícheart an earráid chairdiúil chéanna sa chuid is mó de na cliaint. Tá na tástálacha ordaithe de réir costais, an ceann is saoire ar dtús.

Cruthaigh cá stadann an trácht

Gabhadh go comhuaineach ar chomhéadan amach an chliaint agus ar an bhfreastalaí. Cuir i gcomparáid an rud a d'fhág agus an rud a tháinig, agus tabhair faoi deara cén treo ina bhfeictear an difríocht.

Ciallaíonn rud ar bith ar an bhfreastalaí go bhfuil an cosán nó an chéad NAT ag scriosadh tráchta, agus cuireann teacht gan freagraí in iúl go bhfuil balla dóiteáin ar an bhfreastalaí nó bealach fillte nach bhfuil ann. Ní choinníonn ródaire a chríochnaíonn tolláin go minic aon log úsáideach, mar sin is é an gabháil an taifead. Scríobh síos an port ceann scríbe agus uimhir an phrótacail, mar tá an dá theip chomh cosúil le chéile i ndialóg cliaint.

Faigheann PPTP bás gan prótacal 47

Iompraíonn PPTP an rialú ar TCP 1723 agus a chuid sonraí taobh istigh de GRE, is é sin prótacal IP 47 seachas uimhir phoirt. Má sheoltar 1723 amháin ar aghaidh faightear an toradh clasaiceach: déanann an nasc fíordheimhniú agus ansin éiríonn sé ciúin, mar níl aon riail ann don phrótacal a iompraíonn an t-ualach. Ní féidir leis an gcliant sin a aithint ó fhocal faire diúltaithe, agus mar sin caithfidh an gabháil teacht roimh na hathruithe cumraíochta.

Feidhmíonn passthrough sa treo eile ó sheoladh isteach, agus úsáideann firmware an lipéad céanna don dá rud go minic go leor chun gach duine a chur trí chéile. Ar chliant Linux is féidir leis an mballa dóiteáin áitiúil GRE a scriosadh i bhfad sula mbíonn baint ag an ródaire leis, mar sin teastaíonn riail dá chuid féin ó phrótacal 47 agus caithfear an cúntóir conntrack a lódáil. Coinníonn ufw Ubuntu na rialacha sin sa chomhad before, mar ní féidir le gnáthrialacha allow uimhir phrótacail a chur in iúl. Athlódáil an balla dóiteáin ina dhiaidh sin seachas an meaisín a atosú.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP agus IPsec taobh thiar de dhá NAT

L2TP taobh istigh de IPsec teastaíonn UDP 500 don mhalartú eochracha, UDP 4500 nuair a aimsítear NAT, agus ESP mar phrótacal 50. Scagtar gach ceann acu go neamhspleách, mar sin ní chruthaíonn riail a cheadaíonn ceann amháin aon rud faoin dá cheann eile. Aistríonn dhá ródaire i sraith gach paicéad faoi dhó, agus ní aontaíonn na foircinn a thuilleadh faoi cad a rinneadh a chaibidliú.

Déan droichead den mhóideim sheachtrach, nó múch NAT ar an ródaire inmheánach, ionas go sroicheann an seoladh poiblí an gléas a chríochnaíonn an tollán. San áit nach féidir ceachtar acu, caithfear an tollán a thosú ón taobh istigh de theorainn an dá NAT, ní a chríochnú ansin.

Líonraí iompróirí agus comhroinnt seoltaí

Ciallaíonn seoladh WAN laistigh de 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 nó 100.64.0.0/10 nach bhfuil aon seoladh poiblí ag an ródaire agus nach féidir le haon seoladh isteach ón idirlíon é a shroicheadh. Scagann NAT ar leibhéal iompróra freisin prótacail nach mbíonn súil aige leo, agus is minic GRE ina íospartach ar naisc mhóibíleacha. Cuir seoladh WAN an ródaire féin i gcomparáid, ní an seoladh a thuairiscíonn suíomh cuardaigh do chliant taobh thiar de.

Dealaíonn rith an ródaire céanna ar líne sreinge fionnachtain iompróra ó earráid chumraíochta in aon tástáil amháin. San áit a ndiúltaíonn an t-iompróir don phrótacal, is iad na roghanna atá fágtha iompar eile ar 443 nó tollán a thosaítear ón taobh istigh.

Léigh liosta na n-éisteoirí sula ndúnann tú poirt

Is minic nach bhfuil i scanadh port a chuireann imní ort ach an tsraith ghnéithe a sheoltar ar siúl. Déan fardal de na héisteoirí, ceangail gach socket le gné, agus ansin múch an ghné in ionad an port a bhlocáil, ionas nach rachaidh an dá dhearcadh ó chéile.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

Is sampla maith iad réamhshocruithe SoftEther: TCP 443, 992 agus 5555, agus cuireann na gnéithe L2TP/IPsec agus tollán DNS a gcuid socket féin leis. Má mhúchtar na gnéithe sin baintear na héisteoirí seachas iad a cheilt, agus insíonn an tástáil ó óstach seachtrach duit an ligfidh an t-iompróir an port tríd ar chor ar bith. Is féidir le héisteoir a fhreagraíonn go háitiúil a bheith dúnta níos faide suas fós, mar sin cuir seoladh WAN an ródaire féin i gcomparáid leis an méid a thuairiscíonn seirbhís sheachtrach.