PPTP yana haɗawa sannan ya tsaya a bayan Linux NAT: mataimakin GRE

Wani yana tura 1723, abokin ciniki ya isa uwar garken, tabbatarwa ta fara, sannan komai ya tsaya ba tare da kuskure ba. Tunanin da ya dace shine kalmar sirri mara daidai, don haka ana sake rubuta kalmar sirri sau uku. Turawa ta kasance lafiya kuma shaidun sun kasance lafiya. Abin da ya karye shine yarjejeniya ta biyu da turawa ba ta taɓa rufewa ba, da kuma tsohuwar ƙimar kernel da ta daina taimakawa da ita a hankali.

Turawa ba ita ce matsala ba

Ƙa'idar tura tasha tana bayyana zirga-zirgar TCP ko UDP. Ba za ta iya bayyana kayan da ke canzawa zuwa wata yarjejeniyar IP a tsakiyar zaman ba, kuma PPTP yana yin daidai haka.

Shi ya sa haɗin yake da lafiya har zuwa lokacin da ya tsaya. Sashen da ƙa'idar tasha za ta iya sarrafawa ya yi nasara, kuma sashen da ba za ta iya sarrafawa ba shine sashen da ya gaza.

TCP don sarrafawa, GRE don bayanai

Ana tattaunawa kan kira ta TCP 1723. Da zarar ya tashi, kayan suna ƙaura zuwa GRE, yarjejeniyar IP 47, wadda ba ta ɗaukar lambobin tasha ko kaɗan. Ƙa'idar da ta dogara kan tashoshi ba ta da abin da za ta daidaita.

Abin da GRE ke ɗauka shine mai gano kira a cikin kan sa, kuma mai fassarar NAT dole ne ya sake rubuta wannan filin daidai a duka alkibla biyu ko rabin zaman biyu sun daina daidaitawa da juna. An sake rubuta alkibla ɗaya ba ɗayan ba yana haifar da zaman da ke tabbatarwa sannan ya watsar da kowane fakitin bayanai. Wannan shine ainihin siffar alamar: nasara, sannan shiru.

GRE tsirara ba tare da PPTP ba yana buƙatar irin wannan sake rubutawa, shi ya sa rami na GRE na yau da kullum zai iya aiki ta hanyar na'urar da ta gaza ga abokin ciniki na PPTP a wannan hanyar.

Modulo huɗu da sysctl da ya kashe su

Modulo biyu suna kula da firam, nf_conntrack_proto_gre da nf_nat_proto_gre. Wasu biyu suna kula da mai gano kira, nf_conntrack_pptp da nf_nat_pptp. Loda na ƙarshe yana jan sauran ta hanyar dogaro, don haka lissafin modulo ya kamata ya nuna duka huɗu.

Tsoffin umarni suna amfani da prefix ip_ daga zamanin 2.6. Waɗannan umarnin na iya zama kamar suna gudana yayin da ba su lodawa komai, don haka duba lissafin da aka loda maimakon yanayin fita.

Loda su bai isa ba yanzu. Tun daga Linux 4.7 sysctl net.netfilter.nf_conntrack_helper yana kan 0 ta tsohuwa, wanda ke kashe rabon mataimaki na atomatik ga sabbin kwarara. Na'urar zata iya samun kowane modulo kuma har yanzu ba ta fassara komai. Duba ƙimar da ta fi tasiri kafin ka sake duba lissafin modulo.

Ko dai sake kunna rabon atomatik gabaɗaya, ko kuma haɗa mataimakin zuwa kwararar da suke buƙatarsa kuma bar komai sauran:

iptables -t raw -A PREROUTING -p tcp --dport 1723 -j CT --helper pptp

Zaɓi na biyu shine wanda ya fi kyau. Yana iyakance ɗabi'ar ga zirga-zirgar PPTP maimakon sake kunna rabon atomatik a duk na'urar.

Buɗe yarjejeniyar da ba ta da tashoshi

Ƙa'idar wutar bango da ke ba da izinin 1723 ba ta ce komai game da yarjejeniya 47 ba. A firewalld, ba da izinin yarjejeniyar a yankin da ke fuskantar abokin ciniki. A iptables na yau da kullum, karɓi yarjejeniyar gre a sarkar shiga.

Sannan ka ɗauki hoto a ɓangarorin biyu. Fakitin da ke barin abokin ciniki ba tare da amsa ta iso ba yana nufin an tace hanyar dawowa, kuma wannan kuskure ne daban da shaidar da aka ƙi.

Bayan ya haɗa, iyakar girma

GRE yana saka kai, kuma PPP a ciki yana ƙara ƙari, don haka hanyar da ke aiki tana ba da rahoton MTU ƙasa da 1500 sosai. Ƙananan amsoshi suna lodawa kuma manya suna tsayawa, wanda ke kama da matsala ta biyu marar alaƙa da ke bayyana a daidai lokacin da aka warware ta farko.

Karanta MTU a adaftar PPP na abokin ciniki kuma daidaita shi da lissafin na'urar da kanta maimakon rage lambobin har wani abu ya yi aiki. Fakitin cikakken girma da ke fita ba tare da wani abu ya dawo ba suna nuni ga wannan iyaka ba ga fassarar ba.

Gyara hanyar yana sa mai amfani ya yi aiki, kuma bai sa PPTP ya zama zaɓi mai kyau ba. MS-CHAPv2 da RC4 sun daɗe da wucewa, don haka ɗauki loda modulo a matsayin gyara na ɗan lokaci kuma ka shirya ƙaura zuwa yarjejeniyar da ake kula da ita.