L2TP ba tare da IPsec a Linux ba: xl2tpd, pppd da NAT

L2TP marar sutura ita ce PPP cikin ambulan, ba wani abu ba. Tana ɗaukar firam ɗinku; ba ta rufa su asiri kuma ba ta tabbatar da wanda ke zaune a wancan gefen ba, shi ya sa kusan kowace turawa ke saka IPsec a ƙarƙashinta. Akwai hujjoji na gaskiya na tafiyar da sigar tsirara har yanzu: benci na dakin gwaji, matakin ƙaura, ko hanyar da ta riga ta kasance cikin wata hanyar kariya.

Idan ka ci gaba, rubuta wannan gargaɗin a cikin bayanin ƙira kuma ka bar shi a can. Abin da ke gaba shi ne hanyar aiki da nake amfani da ita a kan hosts na dangin Debian da RHEL: wace fayil ce ke da alhakin me, MTU da ke hana tsayawar gargajiya, da ka'idojin tura wanda ke sa ramin ya cancanci.

Fayiloli uku suna raba aikin

xl2tpd yana ƙare haɗin sarrafawa kuma yana ba da kowane zama ga daemon na PPP, don haka tsarin ya bazu kan shirye-shirye biyu waɗanda ba sa taɓa karanta fayilolin juna. Mai sauraro yana zaune a cikin /etc/xl2tpd/xl2tpd.conf, a cikin sashin [lns default] wanda ke ba da sunan tafkin adireshi da ip range, gefen uwar garke da local ip, da miƙawa ga PPP da pppoptfile. Kunna require authentication = yes, bar length bit da flow bit a kunne, kuma zaɓi tafki wanda babu wani abu a kan host ɗin da ke amfani da shi.

Manufar PPP tana cikin duk fayil ɗin da wannan zaɓi ya ambata, yawanci /etc/ppp/options.xl2tpd: auth, ƙin yarda don pap, chap da mschap, require-mschap-v2, MTU da MRU na 1460, da adireshin DNS da abokin ciniki zai iya isa bayan haɗin ya tashi. Takardun shaidar sirri wata fayil ta uku ce kuma, /etc/ppp/chap-secrets, inda filin na biyu dole ya dace da sunan sashin LNS kuma filin na huɗu na iya ƙulla takamaiman adireshi daga tafkin.

Me ya sa ramin ke haɗawa sannan ya tsaya

Firam na Ethernet na byte 1500 ba ya shiga cikin hanyar da ta riga ta kashe bytes a kan nata kawunan. Kawun IPv4 na waje yana kashe 20, UDP yana kashe 8, kuma kawun L2TP kusan 12, wanda ya bar 1460 ga PPP da kayansa. Sanar da wannan ƙaramin lamba a cikin PPP shi ne ke hana manyan fakiti rabuwa ko a jefar da su a asirce a wani wuri a tsakiya.

Alamar ita ce ramin da ke kama da lafiya har sai an isa da gaske: ping da saƙonnin sarrafawa suna wucewa, kwafin fayil yana tsayawa, babu abin da ke cikin log ɗin da zai bayyana shi. Rage MTU da MRU tare a ƙarshen biyu. Daidaita abokin ciniki kawai yakan mai da tsayawa mai ƙarfi zuwa ta lokaci-lokaci, wadda ta fi muni wajen ganowa.

Ƙofa ɗaya tana ɗaukar tattaunawa biyu

UDP 1701 yana ƙarƙashin rabi biyu na ka'idar, kuma wannan gaskiya ɗaya tana karya ka'idojin wuta fiye da kowane ɓangare na saitin. Da farko buƙatar fara haɗin sarrafawa da amsarta suke zuwa; buƙatar zama da tabbacin da suka biyo baya ba su kafa kome sai ma'auratan ganowa. Bayan haka PPP ya karɓi ragamar: sarrafa haɗi, sannan tabbatarwa, sannan ka'idar sarrafa IP don daidaita adireshi. Kowace mataki tana da nata kalmomi a cikin log ɗin, kuma babu ɗayansu da ke shelar kansa a matsayin gazawar L2TP.

Karanta rikodi daidai a wannan tsari yana gaya maka wane mataki ya gaza, kuma gazawar tabbatarwar PPP ba za a gyara ta ta hanyar gyara xl2tpd ba. Ramin da aka raba yana bayyana wata gazawa ta gama gari: ka'idar da ke ba da izini ga fakitin farko na kwarara kawai tana barin zama ya kafu sannan ta toshe turawa. Ba da izinin 1701 ga dukan tattaunawar, a duka kwatance.

Mayar da ramin mai amfani: turawa da NAT

Zama da kanta tana isa uwar garke kawai. Shiga intanet ɗin abokin ciniki yana buƙatar turawa, ka'idar NAT ga tafkin a kan hanyar sama, da DNS da abokin ciniki zai iya tambaya da gaske bayan haɗin ya tashi. Tafkin kuma dole ya nisanta daga kewayon LAN, in ba haka ba ana isar da amsoshin da aka aika zuwa ga abokan ciniki a gida maimakon tura su baya cikin ramin.

A kan uwar garke, kunna turawa da sysctl -w net.ipv4.ip_forward=1, fassara tafkin da iptables -t nat -A POSTROUTING -s 10.44.0.0/24 -o eth0 -j MASQUERADE, sannan karɓi zirga-zirgar rami mai fita da ka'idar FORWARD ga -i ppp0 -o eth0 da zirga-zirgar dawowa da ka'idar madubi tare da -m state --state RELATED,ESTABLISHED. Mai da waɗannan ka'idoji dawwama a duk sake kunnawa, domin uwar garken da ta dawo ba tare da su ba tana kama da lalatacciyar tsarin L2TP daidai.

Isar zuwa LAN na uwar garke kanta wani aiki ne: ƙara hanyar dawowa ga tafkin a kan na'urar LAN, ko proxy ARP a kan uwar garke. Yin ɓoye abokan ciniki bayan NAT yayin da wani abu cikin LAN dole ya yi musu magana kai tsaye yana tsara zama na biyu na gyara kuskure ne kawai a gaba.

Abin da tarin tsirara ba ya yi, da yadda za a tabbatar

Babu wani ɓangare na wannan tarin da ke rufa wa firam ɗin PPP asiri, kuma babu abin da ke cikinsa da ke tabbatar da wancan gefen a matsayin uwar garken da kuka zaɓa da gaske. MS-CHAPv2 yana kare musayar takardun shaidar daga mai sauraro da ke kallo kawai, amma mai hari da ke cikin hanyar zai iya tsoma baki cikin zaman har yanzu. Abokin ciniki na asali na Windows yana ba da L2TP ne kawai tare da IPsec, don haka yi la'akari da Linux, firmware na na'urar hanya da abokan ciniki na ɓangare na uku a matsayin abokan aikinku. Mayar da tsarin tsirara a matsayin matakin ganowa, ba wai wurin tsayawa ba.

Tabbatar a cikin tsari tabbatacce: gudanar da xl2tpd -D a gaba, kalli log ɗin don matakin PPP, karanta adireshin da aka ba da shi daga ip addr a ƙarshen biyu, sannan kama UDP 1701 don tabbatar da cewa bayanai suna gudana bayan zaman ya tashi. Idan duka huɗu sun dace kuma zirga-zirga har yanzu ta gaza, laifin na ka'idar hanya ne, NAT ko MTU ba L2TP da kanta ba.