Wane mataki na VPN ya kasa: IPsec, sarrafa L2TP ko tabbatar da PPP

Kun canza kalmar sirri kuma babu abin da ya motsa, domin aikin ya taɓa kasancewa cikin PPP ba. L2TP/IPsec yana ba da rahoton kuskuren haɗi ɗaya don miƙa biyar mabambanta, kuma kowace miƙa tana da nata gyaran. Yi aiki a baya: nemo matakin ƙarshe da ya yi nasara ka canza kawai abin da ke bayansa. Tsarin da ke ƙasa kuma yana ƙayyade wace shaida za ku tattara da farko.

Amsa tambayoyi huɗu bisa tsari

Tilasta sabon ƙoƙari, domin wasu abokan ciniki suna ci gaba da nuna kuskuren da ya gabata har sai an cire bayanin kuma an sake haɗa shi. Sannan amsa wannan: akwai ƙungiyar tsaro ta IPsec, sun bayyana haɗin sarrafa L2TP da kira, PPP ya kai ga hukuncin tabbatarwa, kuma IPCP ya ba abokin ciniki adireshi? Na farko a’a shine matakin da kuke gyarawa. Duk abin da ke bayansa ba a gwada shi ba, don haka sunan mai amfani da aka ƙi ba ya tabbatar da komai idan ba a taɓa samun ƙungiya ba.

Daidaita agogon ƙarshen biyu kafin kwatanta. Wani sake gwadawa da ya share IPsec kuma ya kasa a PPP yana kama da gazawa ɗaya lokacin da abokin ciniki yake nuna saƙon ƙarshe kawai kuma tarihin uwar garken yana riƙe da ƙoƙarin da ya gabata. Karanta bisa tambarin lokaci, ba bisa layin da ya fi ƙarfi ba.

Idan kawai kuna da hoton allo na mai amfani, dogara ga mafi arha rabuwa: kuskuren maɓallin da aka raba tukuna da xl2tpd da ba ya amsawa ba ya samar da rubutu ɗaya a cikin taga Windows, amma ɗaya yana buƙatar sirrin da aka canza a ƙarshen biyu ɗin kuma ɗayan yana buƙatar daemon da aka fara ko dokar wuta a kan uwar garken kanta. Na'urar da ke tsakiya ba za ta iya jefar da 1701 na ciki ba bayan IPsec a yanayin jigila ya naɗe shi, don haka kada ku nemi matattarar hanya da babu ita.

Abin da kowane Layer ke mallaka a zahiri

IPsec yana kare fakiti tsakanin abokan biyu; L2TP yana ɗaukar zaman PPP a cikin wannan hanyar da aka kare, shi ya sa RFC 3193 ya ƙayyade yanayin jigila maimakon nasa rami. Alamar abokin ciniki ta ce L2TP, don haka ramin da shiga suna kama da inji ɗaya. Ba haka suke ba: haɗin sarrafa L2TP yana tabbatar da ƙarshen ramin inda turawa ta kunna shi, PPP kuma yana tabbatar da mai amfani daban da CHAP, PAP ko MS-CHAPv2 bisa manufar uwar garken.

Wannan rabuwa tana bayanin sirrikan biyu da mutane suke ci gaba da rikita. Maɓallin da aka raba tukuna yana tabbatar da abokan IPsec. Sunan mai amfani da kalmar sirri suna gane mai amfani ga PPP. Sake buga sirrin da aka raba na Windows a kan bayanin da ke tabbatarwa da takaddun shaida ba ya canza kome a matakin da ya kasa, kuma gyara kalmar sirrin PPP ba zai iya samar da tashar kariya da ta ɓace ba. Wannan kamewa ɗaya ya shafi duba asali: kada ku kashe asalin abokin ko tabbatar da takardar shaida don samun rami, domin abin da ke haɗawa a lokacin hanya ce, ba abokin ba.

Tabbatarwa ma ba ƙarshen PPP ba ce. Bayan an karɓi mai amfani, IPCP yana tattaunawa kan adireshin abokin ciniki da zaɓuɓɓukan DNS da WINS da uwar garken ke shirye ya bayar. Abokin ciniki na iya wuce CHAP ko MS-CHAPv2 kuma har yanzu ya kasance ba adireshi, wanda gazawa ce cikin PPP ba matsalar hanya ba. L2TP tsirara ba tare da IPsec ba ya kasance mai inganci kuma ba kariya, don haka haɗin da ya yi nasara ba ya taɓa tabbatar da an kare zirga-zirgar; duba abin da uwar garken ke buƙata, ba alamar abokin ciniki ba.

Yanke hukunci daga matakin farko da ya ɓace

Karanta teburin bisa ga abu na farko da ya ɓace, daga hagu zuwa dama. Shafi na dama shine kawai aikin da ya cancanci a lokacin; duk abin da ke hagu nasa an riga an tabbatar da shi, kuma sake gwada shi yana ƙone taga katsewa ba tare da ƙara bayani ba.

Layuka uku sun cancanci gargaɗi. Layin 1701 shine inda abokan cinikin Windows bayan NAT suka fi sauka: ƙungiyar tana cika, sannan babu abin da ya iso, kuma naɗewa shine sanadin ba mugun kalmar sirri ba. Layin IPCP shine wanda ake karanta kuskure a matsayin matsalar hanya, domin Windows yana naɗe adireshin da ya ɓace cikin kuskure 720 kuma gunkin tiren yana cewa kawai haɗin ya kasa; wannan gazawar tana bayan tabbatarwa kuma kafin hanya. Layin ƙarshe ba gazawar IPsec ba ce kwata-kwata ko da gunkin yana cewa an cire haɗi.

Umarnin da ke raba Layers

A kan uwar garken Linux da ke gudanar da strongSwan, swanctl --list-sas yana lissafta ƙungiyoyin da aka kafa tare da asalin abokin, kuma ipsec statusall yana rufe tsofaffin strongSwan da libreswan. A ƙasa ip xfrm state yana nuna ainihin ƙungiyoyin kernel, yayin da ss -lunp | grep 1701 yana tabbatar da inda xl2tpd ya ɗaure. Gudanar da xl2tpd -D a gaba don ganin haɗin sarrafawa da kira suna bayyana, kuma kunna gyaran pppd a cikin /etc/ppp/options.xl2tpd don ganin hanyar da aka bayar da amsar.

Da zarar tarihin ya nuna nasarar tabbatarwa, tambaya ta gaba ita ce ko IPCP ya kammala. Duba ko ip range a sashen [lns default] na /etc/xl2tpd/xl2tpd.conf har yanzu yana da adireshi kyauta, kuma ko /etc/ppp/options.xl2tpd yana ɗauke da ms-dns da ms-wins idan abokin ciniki yana tsammanin su. Rijiyar da ta ƙare da zaɓin DNS da ya ɓace suna kama daban a waya: na farko yana barin abokin ciniki ba adireshi da 720, na biyu yana ba da adireshi amma babu mai warwarewa, don haka sunaye suna kasawa yayin da ping zuwa adireshin danye yana aiki. Ba a gyara ko ɗaya ta hanyar sake shigar da kalmar sirri.

A kan abokin ciniki, ƙarin L2TP na NetworkManager yana rubuta tattaunawar pppd cikin jarida, don haka journalctl -u NetworkManager -b yawanci yana raba rami a sama, an ƙi tabbatarwa daga babu rami kwata-kwata. A Windows, Get-VpnConnection yana ba da rahoton ainihin saitunan tabbatarwa na bayanin, kuma abubuwan RasClient a ƙarƙashin Application a Event Viewer suna ambaton ɓangaren da ya kasa. Lokacin da taga ya fi shuru, kunna netsh ras set tracing * enable.

Rikodi suna buƙatar taka tsantsan ɗaya. Da IPsec a yanayin jigila, UDP 1701 na ciki yana ɓoyayye, don haka rikodin a kan musaya na waje yana nuna ESP, ko UDP 4500 a ƙarƙashin NAT-T, kuma babu L2TP kwata-kwata. Rashin 1701 a rikodin abu ne da ake tsammani kuma ba hujjar toshewar tashar ba; duba ko masu ƙirga ESP ko 4500 suna motsi.

NAT, MTU da hanyoyi: inda tarin ya yaudare ku

NAT yana karya zato kafin a tabbatar da kome. ESP nasa ka'idar IP ce, don haka na'urar da ke fassara tana jefar da ita sai abokan sun naɗe; UDP 4500 shine yake samar da hakan. A kan uwar garken Windows da kanta ke bayan na'urar gida ko ƙofar NAT ta girgije, matakin IPsec yana kasa da kuskure 789 har sai an sa AssumeUDPEncapsulationContextOnSendRule zuwa 2 a ƙarƙashin maɓallin PolicyAgent kuma na'urar ta sake kunnawa, kuma gazawar tana zama ba za a iya bambance ta da rufaffen tasha ba. Abokan ciniki bayan NAT sun fi sauƙi: da adireshin jama'a a kan uwar garken, NAT-T a kan UDP 4500 yana ɗaukar su kuma wannan darajar ba ta shiga ba.

Da zarar PPP ya tashi, MTU mai baƙin rami yana kwaikwayon mataccen rami: ƙananan fakiti suna wucewa, musafaha TLS ko loda shafi suna rataye, kuma abokin ciniki na iya nuna an haɗa har yanzu. Rage MTU na musaya ko matse MSS a ƙofar kafin ku zargi uwar garken. Sarrafa rami rabe yana ɗaya daga cikin mayaudaran; yankin da aka tura da abin rufe fuska mara kyau yana barin ramin lafiya kuma aikace-aikace ɗaya ba ya isa. Sunan mai masauki na sirri yana ƙara nasa tsalle: idan tambayar ta fita ta hanyar mai warwarewa na gida, sunan ya kasa warwarewa kafin a gwada kowace hanya.

Lissafin dubawa kafin ku taɓa takardun shaidar shiga

Yi aikin lissafin bisa tsari kuma tsaya a abu na farko da ya kasa. Kowane mataki arha ne, kuma kowanne yana ware aji ɗaya na gyare-gyare.

1. Tabbatar ƙungiyar tana nan a ƙarshen biyu, an daidaita ta da asalin abokin ba da alamar haɗi ba.
2. Tabbatar UDP 1701 yana isa xl2tpd; ƙungiya ba kira ita ce gazawar ku.
3. Karanta hukuncin PPP, kuma idan ya tabbatar, sakamakon IPCP, kafin ku ɗauka kalmar sirri ba daidai ba ce.
4. Yanzu kawai sake shigar da takardun shaidar a cikin tsarin da uwar garken ke tsammani, domin prefix na yanki yana canza asusun.
5. Idan har yanzu ya kasa, yi rikodin ƙarshen biyu da tambarin lokaci daidaitacce kuma kwatanta mataki-mataki.

Tsayawa a mataki na biyu yana nufin matsalar hanya ko naɗewa, kuma babu gyaran kalmar sirri da zai motsa ta. Tsayawa a mataki na uku yana nufin tarihin ya riga ya ambaci hanyar ko rijiyar adireshi da za a gyara. Ko ta yaya canji na gaba shine wanda za ku iya bayar da hujja, kuma za ku daina juyawa cikin saitunan da ba su taɓa shiga ba.