Sabar PPTP a bayan na'urar router ta gida: fara gyara 1723 da GRE

PPTP a bayan router na gida yana kasawa ta hanyoyi biyu marasa alaƙa, kuma rikita su yana ɓata maraice gaba ɗaya. Ɗaya daga cikin gazawar ita ce gibin turawa: router ɗin yana wucewa TCP 1723 kuma yana watsar da IP protocol 47, don haka abokin ciniki ya kasance a rataye a kuskure 619. Ɗayan kuma matsala ce ta girma: tunnel ɗin yana tashi, yana tabbatarwa, sannan yana daskarawa lokacin da fakitin cikakken girma ya isa ya ratsa. Gano wanne daga cikinsu kuke da shi shine ainihin matakin farko; sauran yana kwatanta abin da router ɗinku zai iya bayyanawa, ba wace alama ce mafi kyau ba.

Masu ɗauka biyu, kuma ɗaya ne kaɗai ke da tashar jiragen ruwa

PPTP yana rabuwa zuwa masu ɗauka biyu: haɗin sarrafawa a kan TCP 1723, da firam ɗin PPP da aka naɗe cikin ingantaccen GRE, wato IP protocol 47. GRE ba shi da lambar tashar jiragen ruwa, don haka dokar da aka rubuta a matsayin tura tashar 1723 ba za ta iya rufe shi ba, ko yadda fuskar yanar gizo ta kira filin. Router na gida yakan ba da akwatin da ake kira wucewar PPTP maimakon dokar protocol, kuma wannan akwatin yana yin ayyuka biyu: yana barin protocol 47 ya ratsa bangon wuta, kuma yana koya wa NAT yadda zai bi diddigin kwararar GRE. A kan router na Linux waɗannan ayyuka raka'o'i ne daban kuma dokoki daban, wanda shine dalilin da yasa rabin-wucewa da aka tsara har yanzu yana samar da tashar sarrafawa mai aiki. Gano wane rabin ne yake nan kafin ka canza wani abu.

Bangon wutar sabar da kanta dole ne ya ba da izinin protocol 47 daga adireshin router. Bangon wutar mai masaukin da ke karɓar 1723/tcp kawai yana sake haifar da kuskure 619 daga cikin LAN, wanda hakan ke sa karyewar turawa da karyewar dokar mai masauki su yi kama da juna.

sudo iptables -S FORWARD | grep -i gre
sudo nft list ruleset | grep -i gre
lsmod | grep -E 'nf_conntrack_proto_gre|nf_nat_proto_gre'

Idan raka'o'in ba su nan, loda su da sudo modprobe nf_conntrack_proto_gre nf_nat_proto_gre kuma ka mai da lodin na dindindin, domin sake kunnawa da ya manta da mataimakin yana mai da tunnel mai aiki zuwa kuskure 619 kuma. Dokar turawa tana buƙatar karɓar protocol 47 zuwa adireshin sabar kawai, ba dukan LAN ba. Ma'anar da ke cikin RFC 2637 tana raba hanyar sarrafawa da hanyar bayanai, wanda shine dalilin da yasa babu wani allon turawa guda ɗaya da ke kwatanta PPTP gabaɗaya.

Akwatin wucewa ko bayyanannen dokar protocol

Akwatin wucewa da ke buɗe bangon wuta kawai ya fi kusa da daidai fiye da ALG da ke sake rubuta alamun kira. Rabin bangon wuta abu ne da ake iya hasashe, domin ko dai an karɓi protocol 47 ko an watsar da shi, kuma masu lissafi suna faɗin wanne. Rabin sake rubutawa shine inda masana'antun suka bambanta, domin alamun kiran PPTP na kowace tunnel ne kuma NAT da ke gyara su dole ne ya bi duk kiran da ya taɓa. Lokacin da abokin ciniki ɗaya ya haɗa kuma biyu ba su haɗa ba, ALG shine farkon wanda ake zargi.

Dokar NAT ta manufa don 1723 ita ma tana da matsalar mallaka. Idan tsohuwar doka har yanzu tana aika 1723 zuwa mai masaukin da ya daina gudanar da sabar, fakiti suna sauka a kan rufaffen tasha kuma sabis ɗin PPTP na router ɗin kansa ya daina amsawa, wanda ake karantawa a matsayin gazawar bangon wuta amma a zahiri tsohuwar manufa ce. Karanta dokar da manufarta kafin ka ƙara ta biyu. A kan router ɗin da suke ƙare PPTP da kansu, dokar WAN tana fafatawa da sabis ɗin da aka gina a ciki, don haka zaɓi mai mallaka ɗaya don 1723 da protocol 47.

Abokan ciniki biyu a bayan NAT ɗaya shine yanayin da ke raba turawa mai sauƙi da mai wayo. Tura protocol 47 ba tare da sake rubuta alamun kira ba yakan fi mataimakin da ke ƙoƙarin gyara su kyau.

Auna tunnel ɗin kafin ka zargi router

PPTP yana rage nauyin da ake amfani da shi, kuma wannan raguwar lissafi ce ba wani asiri ba. Kowace fakitin tunnel tana ɗauke da kan IP na waje, kan GRE ingantacce, kan PPP da, tare da ɓoye bayanai, kan MPPE. Lokacin da hanya ba za ta iya ɗaukar firamin da ya samo ba, ƙananan fakiti suna wucewa, shiga yana cika, kuma zaman yana tsayawa a karon farko da canjin fayil ko musafaha na TLS ya aika fakitin cikakken girma.

Yi lissafin lambar maimakon yin hasashe. Ingantaccen GRE yana kashe baiti 8, PPP yana kashe 4, MPPE yana kashe 4, kuma kan IP na waje yana kashe 20, don haka tunnel yana cinye baiti 36 kafin kowane nauyi. A kan PPPoE WAN da ke ƙarewa a 1492, mafi girman PPP MTU da zai shiga shine 1492 a debe 36, wato 1456. Saita mtu da mru zuwa wannan ƙimar a cikin zaɓuɓɓukan PPP kuma sake gwadawa da ping mara rarrabuwa.

ping -M do -s 1464 198.51.100.7
grep -E '^(mtu|mru)' /etc/ppp/options.pptpd

Ping yana auna hanya, ba tunnel ba: baiti 1464 na nauyi da baiti 28 na kawunan IP da ICMP suna cika firam na baiti 1492 daidai. Idan wannan ping ya kasa, rage lambar har sai ya wuce sannan ka cire 36 daga sakamakon. Tunnel MTU da aka saita sama da iyakar hanya yana haifar da daskarewa ba tare da ko ɗaya layin log da ya ambaci girma ba.

PPTP, L2TP/IPsec ko OpenVPN a kan router ɗaya

Router ɗaya zai iya ɗaukar kowane ɗaya daga cikin manyan tunnels uku, kuma bambancin shine abin da dole ne ya bayyana. PPTP yana buƙatar dokoki biyu a cikin yadudduka biyu daban-daban. L2TP a kan IPsec yana buƙatar UDP 500 da 4500 don musayar maɓalli kuma, sai dai idan NAT-T ya ɗauke shi, protocol 50 don nauyin. OpenVPN yana buƙatar tashar UDP ɗaya kuma babu mataimaki kwata-kwata.

Rukunin L2TP ba ya zama mai sauƙin mu'amala fiye da GRE kai tsaye. ESP shine IP protocol 50 kuma shi ma ba shi da tasha, don haka router da ke fama da protocol 47 na iya fama da protocol 50 saboda wannan dalili ɗaya. NAT-T ya wanzu don naɗe ESP cikin UDP 4500, kuma lokacin da ɓangarorin biyu suka goyi bayan hakan dokar protocol 50 ta zama maras buƙata. Wannan siffa ce ta ɓangarorin, ba ta akwatin PPTP na router ba. Tabbatar da irin naɗewar da abokin ciniki ya yi shawarwari da ita kafin ka rubuta dokoki don duka biyun.

OpenVPN shine zaɓi mafi ƙarancin sassa masu motsi a gefen router. Tashar UDP ɗaya, turawa ɗaya, babu mataimakin bin diddigin haɗi kuma babu sake rubuta alamun kira. Musanyar ita ce abokin ciniki da dole a sanya shi maimakon bugun kira da aka gina a ciki, kuma sau da yawa shine kawai dalilin da yasa PPTP ke zama cikin tattaunawa.

Abin da za a gyara da abin da za a maye gurbin

Gyara turawa da MTU yana ba ka tunnel da ke aiki, ba wanda ya kamata ka riƙe ba. Tabbatar da MSCHAPv2 na PPTP ya kasance abin hari shekaru da yawa, kuma tunnel mai aiki yana motsa bayanan shiga da za a iya dawo da su ba tare da haɗi ba. Idan na'urar nesa za ta iya gudanar da L2TP/IPsec ko OpenVPN, ɗauki gyaran a matsayin matakin wucin gadi mai kwanan wata.

Shawarar ta dogara ne da abin da ƙarshen nesa ke goyon baya da kuma tsawon lokacin da tsarin zai daɗe. Tsohuwar na'urar da ke magana da PPTP kawai tana samun gyaran; duk abin da za a iya sanya abokin ciniki a kai ana ƙaura shi.

Kafin ka rufe tikitin, tabbatar da abokin ciniki ya jimre da babban canjin ba kawai shiga ba, kuma router ɗin har yanzu yana riƙe dokarsa ta protocol 47 bayan sake kunnawa. Tunnel da ya wuce kwafin fayil ɗaya kuma ya mutu bayan sabuntawar firmware na gaba ba a taɓa kammala shi ba.