PPTP-þjónn á bak við heimilisrouter: lagaðu 1723 og GRE fyrst

PPTP á bak við heimilisrouter bregst á tvo ótengda vegu, og að rugla þeim saman kostar heilt kvöld. Önnur bilun er eyða í framsendingu: routerinn hleypir TCP 1723 í gegn og hendir IP-samskiptareglu 47, þannig að biðlarinn hangir á villu 619. Hin er stærðarvandamál: göngin koma upp, auðkenna sig og frjósa síðan þegar pakki í fullri stærð þarf að fara yfir. Að komast að því hvort þú átt hvort tveggja er fyrsta raunverulega skrefið; afgangurinn ber saman hvað routerinn þinn getur tjáð, ekki hvaða merki er betra.

Tveir flutningsvegar, og aðeins annar hefur port

PPTP skiptist á tvo flutningsvega: stjórnsamband á TCP 1723, og PPP-rammar vafðir í auknu GRE, sem er IP-samskiptaregla 47. GRE hefur ekkert portnúmer, þannig að regla sem skrifuð er sem framsending á porti 1723 getur ekki náð yfir hana, hvernig sem vefviðmótið nefnir reitinn. Heimilisrouter býður venjulega reit sem heitir PPTP-gegnumstreymi í stað samskiptareglu, og sá reitur gerir tvö verk: hann hleypir samskiptareglu 47 í gegnum eldvegginn, og hann kennir NAT að fylgjast með GRE-streyminu. Á Linux-router eru þessi verk aðskildar einingar og aðskildar reglur, sem er ástæða þess að hálfstillt gegnumstreymi framleiðir samt virka stjórnrás. Komdu að því hvor helmingurinn er til staðar áður en þú breytir nokkru.

Eldveggur þjónsins sjálfs verður líka að leyfa samskiptareglu 47 frá routerfanganu. Hýsilseldveggur sem tekur aðeins við 1723/tcp endurgerir villu 619 innan LAN, sem lætur brotna framsendingu og brotna hýsilreglu líta eins út.

sudo iptables -S FORWARD | grep -i gre
sudo nft list ruleset | grep -i gre
lsmod | grep -E 'nf_conntrack_proto_gre|nf_nat_proto_gre'

Ef einingarnar vantar, hladdu þeim með sudo modprobe nf_conntrack_proto_gre nf_nat_proto_gre og gerðu hleðsluna varanlega, því endurræsing sem gleymir hjálparanum breytir virkum göngum aftur í villu 619. Framsendingarreglan þarf aðeins að samþykkja samskiptareglu 47 í átt að þjónfanganu, ekki öllu LAN. Skilgreiningin í RFC 2637 aðgreinir stjórn- og gagnaleiðina, sem er ástæða þess að enginn einn portframsendingarskjár lýsir PPTP að fullu.

Gegnumstreymisreitur eða skýr samskiptaregluregla

Gegnumstreymisreitur sem aðeins opnar eldvegginn er nær því rétta en ALG sem endurskrifar kallsauðkenni. Eldveggjarhelmingurinn er fyrirsjáanlegur, því annaðhvort er samskiptaregla 47 samþykkt eða henni hent, og teljararnir segja hvor. Endurskrifunarhelmingurinn er þar sem framleiðendur eru ólíkir, því kallsauðkenni PPTP eru fyrir hver göng og NAT sem breytir þeim verður að fylgjast með hverju símtali sem það snertir. Þegar einn biðlari tengist og tveir ekki er ALG fyrsti grunaði.

Áfangastaðar-NAT-regla fyrir 1723 ber líka eigandavandamál. Ef gömul regla sendir enn 1723 á hýsil sem hætti að keyra þjóninn lenda pakkarnir á lokuðu porti og eigin PPTP-þjónusta routersins hættir að svara, sem les eins og eldveggsbrot en er í raun úrelt skotmark. Lestu regluna og áfangastað hennar áður en þú bætir annarri við. Á routerum sem ljúka PPTP sjálfir keppir WAN-reglan við innbyggðu þjónustuna, svo veldu einn eiganda fyrir 1723 og samskiptareglu 47.

Tveir biðlarar á bak við sama NAT eru tilfellið sem aðgreinir einfalda framsendingu frá sniðugri. Að framsenda samskiptareglu 47 án þess að endurskrifa kallsauðkenni hagar sér venjulega betur en hjálpari sem reynir að laga þau.

Mældu göngin áður en þú kennir routernum um

PPTP minnkar nytsama hleðslu, og sú minnkun er reikningur, ekki ráðgáta. Hver gangapakki ber ytri IP-haus, aukinn GRE-haus, PPP-haus og með dulkóðun MPPE-haus. Þegar slóðin getur ekki borið rammann sem verður til fara litlir pakkar í gegn, innskráningu lýkur, og setan stöðvast í fyrsta skipti sem skráaflutningur eða TLS-handaband sendir pakka í fullri stærð.

Reiknaðu töluna í stað þess að giska. Aukið GRE kostar 8 bæti, PPP kostar 4, MPPE kostar 4 og ytri IP-hausinn kostar 20, svo göngin éta 36 bæti fyrir hvers konar hleðslu. Á PPPoE-WAN sem endar á 1492 er stærsta PPP MTU sem passar 1492 mínus 36, það er 1456. Stilltu mtu og mru á það gildi í PPP-valkostunum og prófaðu aftur með pingi án sundrunar.

ping -M do -s 1464 198.51.100.7
grep -E '^(mtu|mru)' /etc/ppp/options.pptpd

Pingið mælir slóðina, ekki göngin: 1464 bæti af hleðslu plús 28 bæti af IP- og ICMP-hausum fylla nákvæmlega 1492 bæta ramma. Ef það ping mistekst skaltu lækka töluna þar til það gengur og draga 36 frá niðurstöðunni. MTU ganga sett yfir mörk slóðarinnar veldur frystingunni án þess að ein lína í annálinum nefni stærð.

PPTP, L2TP/IPsec eða OpenVPN á sama router

Sami router getur borið hvaða af þremur algengum göngum sem er, og munurinn er hvað hann verður að tjá. PPTP þarf tvær reglur í tveimur ólíkum lögum. L2TP yfir IPsec þarf UDP 500 og 4500 fyrir lyklaskiptin og, nema NAT-T beri það, samskiptareglu 50 fyrir hleðsluna. OpenVPN þarf eitt UDP-port og engan hjálpara yfirleitt.

L2TP-dálkurinn er ekki sjálfkrafa vingjamlegri en GRE. ESP er IP-samskiptaregla 50 og hefur heldur ekkert port, svo router sem á í erfiðleikum með samskiptareglu 47 getur átt í erfiðleikum með samskiptareglu 50 af sömu ástæðu. NAT-T er til að vefja ESP inn í UDP 4500, og þegar báðir endar styðja það verður regla 50 óþörf. Það er eiginleiki endanna, ekki PPTP-reits routersins. Staðfestu hvaða innpokun biðlarinn samdi í raun áður en þú skrifar reglur fyrir bæði.

OpenVPN er valkosturinn með fæsta hreyfanlega hluta á routerhliðinni. Eitt UDP-port, ein framsending, enginn sambandsskjáahjálpari og engin endurskrifun kallsauðkenna. Skiptin eru biðlari sem þarf að setja upp í stað innbyggðs hringis, og það er oft eina ástæðan fyrir því að PPTP helst í samræðunum.

Hvað á að laga og hvað á að skipta út

Að laga framsendinguna og MTU gefur þér göng sem virka, ekki þau sem þú ættir að halda. MSCHAPv2-auðkenning PPTP hefur verið árásargjarn í mörg ár, og virk göng flytja skilríki sem hægt er að endurheimta án nettengingar. Ef fjartækið getur keyrt L2TP/IPsec eða OpenVPN skaltu líta á viðgerðina sem tímabundið úrræði með dagsetningu.

Ákvörðunin snýst um hvað fjarendinn styður og hve lengi fyrirkomulagið þarf að standa. Gamalt tæki sem talar aðeins PPTP fær viðgerðina; allt sem hægt er að setja biðlara á er flutt.

Áður en þú lokar miðanum skaltu staðfesta að biðlarinn standist stóran flutning en ekki bara innskráningu, og að routerinn haldi enn reglu sinni um samskiptareglu 47 eftir endurræsingu. Göng sem komast í gegnum eina skráarkópíu og deyja eftir næstu fastbúnaðaruppfærslu voru aldrei kláruð.