L2TP án IPsec á Linux: xl2tpd, pppd og NAT

BERT L2TP er PPP í umslagi, og ekkert annað. Það ber rammana þína; það dulkóðar þá ekki og sannar ekki hver situr hinum megin, og þess vegna setur næstum hver uppsetning IPsec undir það. Heiðarlegar ástæður til að keyra bert útgáfuna eru enn til: labborð, flutningsskref eða tenging sem er þegar inni í annarri varinni leið.

Ef þú heldur áfram skaltu skrifa þá viðvörun í hönnunarskýrsluna og láta hana vera þar. Það sem fer hér á eftir er rekstrarleiðin sem ég nota á hýslum af Debian- og RHEL-fjölskyldunni: hvaða skrá á hvað, MTU-ið sem kemur í veg fyrir klassíska stífluna og framsendingarreglurnar sem gera göngin þess virði.

Þrjár skrár deila verkinu

xl2tpd lýkur stjórnsambandinu og afhendir hverja lotu PPP-púka, svo stillingunni er dreift á tvö forrit sem lesa aldrei skrár hvors annars. Hlustandinn býr í /etc/xl2tpd/xl2tpd.conf, inni í [lns default] hluta sem nefnir vistfangasafnið með ip range, netþjónsenda með local ip og afhendinguna til PPP með pppoptfile. Kveiktu á require authentication = yes, láttu length bit og flow bit vera virk og veldu safn sem ekkert annað á hýslinum notar þegar.

PPP-stefnan tilheyrir þeirri skrá sem þessi valkostur nefnir, venjulega /etc/ppp/options.xl2tpd: auth, synjanir fyrir pap, chap og mschap, require-mschap-v2, MTU og MRU upp á 1460 og DNS-vistfang sem biðlarinn nær í eftir að tengingin er komin upp. Auðkennin eru enn þriðja skráin, /etc/ppp/chap-secrets, þar sem annað sviðið verður að passa við nafn LNS-hlutans og það fjórða getur fest ákveðið vistfang úr safninu.

Hvers vegna göngin tengjast og stíflast svo

Ethernet-rammi upp á 1500 bæti kemst ekki fyrir í leið sem þegar eyðir bætum í sína eigin hausa. Ytri IPv4-hausinn kostar 20, UDP kostar 8 og L2TP-hausinn um 12, sem skilur 1460 eftir fyrir PPP og farminn. Það er einmitt að tilkynna þá minni tölu í PPP sem kemur í veg fyrir að stórir pakkar sundrist eða hverfi hljóðlaust einhvers staðar í miðjunni.

Einkennið er göng sem líta heil út þar til raunverulegur umferð kemur: ping og stjórnskilaboð komast í gegn, afritun skráar stíflast, ekkert í annálnum útskýrir það. Lækkaðu MTU og MRU saman á báðum endum. Að stilla aðeins biðlarann breytir harðri stíflu oft í slitrótta, sem er verra að greina.

Ein gátt ber tvö samtöl

UDP 1701 liggur undir báðum helmingum samskiptareglunnar, og sú eina staðreynd brýtur fleiri eldveggsreglur en nokkur annar hluti uppsetningarinnar. Fyrst koma beiðni um byrjun stjórnsambands og svar hennar; lotubeiðnin og staðfestingin sem á eftir koma koma ekki á neinu öðru en auðkennaparinu. Síðan tekur PPP við: tengistýring, þá auðkenning, þá IP-stýringarsamskiptaregla til að semja um vistföng. Hvert þrep hefur sitt orðfæri í annálnum, og ekkert þeirra tilkynnir sig sem L2TP-bilun.

Að lesa upptöku nákvæmlega í þessari röð segir þér hvaða þrep brást, og PPP-auðkenningarbilun verður ekki lagað með því að breyta xl2tpd. Sameiginlega gáttin útskýrir aðra algenga bilun: regla sem leyfir aðeins fyrstu pakka flæðis lætur lotuna myndast og lokar síðan á flutninginn. Leyfðu 1701 fyrir allt samtalið, í báðar áttir.

Að gera göngin gagnleg: framsending og NAT

Lota ein og sér nær aðeins til netþjónsins. Netaðgangur biðlara þarf framsendingu, NAT-reglu fyrir safnið á uppstrengnum og DNS sem biðlarinn getur raunverulega spurð eftir að tengingin er komin upp. Safnið verður líka að halda sig utan LAN-bilsins, annars eru svör sem beint er til biðlara afhent staðbundið í stað þess að ýta þeim aftur inn í göngin.

Á netþjóninum skaltu virkja framsendingu með sysctl -w net.ipv4.ip_forward=1, þýða safnið með iptables -t nat -A POSTROUTING -s 10.44.0.0/24 -o eth0 -j MASQUERADE og taka síðan á móti útleiðarumferð ganganna með FORWARD-reglu fyrir -i ppp0 -o eth0 og endakominni umferð með speglreglunni auk -m state --state RELATED,ESTABLISHED. Gerðu þessar reglur varanlegar milli endurræsinga, því netþjónn sem kemur til baka án þeirra lítur nákvæmlega út eins og biluð L2TP-stilling.

Að ná í eigið LAN netþjónsins er annað verkefni: bættu við endaleið fyrir safnið á LAN-tenginum, eða proxy ARP á netþjóninum. Að fela biðlara bak við NAT þegar eitthvað inni í LAN-inu verður að beina sér beint að þeim er bara að tímasetja aðra kembileiðréttingarlotu síðar.

Hvað beri staflinn gerir ekki, og hvernig á að sannreyna

Enginn hluti þessa stafla dulkóðar PPP-rammana, og ekkert í honum auðkennir fjarlæga endann sem þann netþjón sem þú valdir í raun. MS-CHAPv2 verndar vissulega auðkennaskiptin fyrir hlustanda sem bara fylgist með, en árásarmaður inni á leiðinni getur samt truflað lotuna. Innbyggði Windows-biðlarinn býður L2TP aðeins ásamt IPsec, svo reiknaðu með Linux, vélbúnaði tengla og biðlurum þriðja aðila sem jafningja þína. Meðhöndlaðu beru stillinguna sem greiningarþrep, aldrei sem staðinn til að stöðva.

Sannreyndu í föstum röð: keyrðu xl2tpd -D í forgrunni, fylgstu með annálnum fyrir PPP-þrepið, lestu úthlutað vistfang úr ip addr á báðum endum og taktu síðan upp UDP 1701 til að staðfesta að gögn streymi eftir að lotan er komin upp. Ef allir fjórir stemma og umferðin mistekst samt, er gallinn í leiðavali, NAT eða MTU en ekki í L2TP sjálfu.