VPN-göng tengjast aldrei: hvar pakkarnir stöðvast í raun

Biðlarinn reynir aftur og aftur, annállinn stöðvast áður en handabandið klárast, og netþjónninn skráir alls ekkert. Þetta mynstur beinir athyglinni frá auðkennum að leiðinni: eitthvað milli endanna tveggja neitar að bera það protokoll sem göngin þurfa. Ákvarðaðu hvar pakkarnir stöðvast áður en þú snertir sitt hvora stillinguna, því síað protokoll og rangt lykilorð gefa sömu vingjarnlegu villuna í flestum biðlurum. Prófin eru raðað eftir kostnaði, ódýrasta fyrst.

Sannaðu hvar umferðin stöðvast

Taktu upp samtímis á útleiðarviðmóti biðlarans og á netþjóninum. Berðu saman það sem fór með því sem kom, og taktu eftir í hvora áttina munurinn birtist.

Ekkert á netþjóninum þýðir að leiðin eða fyrsta NAT hendir umferð, en komur án svara benda til eldveggs á netþjóninum eða afturleiðar sem er ekki til. Beinir sem lýkur göngum oft heldur sjaldan gagnlegri annál, svo upptakan verður skráin. Skrifaðu niður áfangahöfnina og protokollsnúmerið, því bæði mistökin líta eins út í glugga biðlarans.

PPTP deyr án protokolls 47

PPTP ber stjórn á TCP 1723 og gögnin inni í GRE, sem er IP-protokoll 47 en ekki hafnarnúmer. Að framsenda aðeins 1723 gefur hina klassísku niðurstöðu: tengingin auðkennir sig og þagnar svo, því engin regla er til fyrir protokollið sem ber farminn. Biðlarinn getur ekki greint það frá hafnaðri lykilorði, þess vegna verður upptakan að koma áður en stillingunum er breytt.

Gegnumstreymi gengur í gagnstæða átt við innkomna framsendingu, og fastbúnaður notar nógu oft eitt merki fyrir bæði til að rugla alla. Á Linux-biðlara getur staðbundinn eldveggur hent GRE löngu áður en beinirinn kemur við sögu, svo protokoll 47 þarf sína eigin reglu og conntrack-hjálparinn verður að vera hlaðinn. ufw í Ubuntu heldur þessum reglum í before-skránni, því venjulegar allow-reglur geta ekki tjáð protokollsnúmer. Endurhlaðaðu eldvegginn eftir á í stað þess að endurræsa vélina.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP og IPsec bak við tvö NAT

L2TP inni í IPsec þarf UDP 500 fyrir lyklaskiptin, UDP 4500 þegar NAT greinist, og ESP sem protokoll 50. Hvert þeirra er síað sjálfstætt, svo regla sem leyfir eitt sannar ekkert um hin tvö. Tveir beinar í röð þýða hvern pakka tvisvar, og endarnir eru ekki lengur sammála um hvað var samið.

Brúaðu ytri mótaldið, eða slökktu á NAT í innri beininum, svo opinbera vistfangið nái til tækisins sem lýkur göngunum. Þar sem hvorugt er mögulegt verður að hefja göngin innan frá mörkum tvöfaldrar NAT, ekki ljúka þeim þar.

Net flutningsaðila og sameiginleg vistföng

WAN-vistfang innan 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 eða 100.64.0.0/10 þýðir að beinirinn hefur ekkert opinbert vistfang og engin innkomin framsending frá internetinu nær til hans. NAT á stigi flutningsaðila síar einnig protokoll sem það á ekki von á, og GRE er tíður skaði á farsímaleiðum. Berðu saman WAN-vistfangið á beininum sjálfum, ekki vistfangið sem leitarvefur tilkynnir fyrir biðlara bak við hann.

Að keyra sama beini á snúruleið aðskilur niðurstöðu um flutningsaðila frá stillingarvillu í einu prófi. Þar sem flutningsaðilinn neitar protokollinu eru eftir valkostir annar flutningur á 443 eða göng sem hefja innan frá.

Lestu listann yfir hlustendur áður en þú lokar höfnum

Óhugnanlegt hafnarskönnun er oft bara eiginleikinn sem fylgir virkur. Taktu hlustendurna í bókhald, tengdu hverja tengingu við eiginleika, og slökktu svo á eiginleikanum í stað þess að loka höfninni, svo sýnin tvö reki ekki í sundur.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

Sjálfgefin gildi SoftEther eru gott dæmi: TCP 443, 992 og 5555, þar sem L2TP/IPsec og DNS-göng eiginleikarnir bæta við eigin tengingum. Að slökkva á þessum eiginleikum fjarlægir hlustendurna í stað þess að fela þá, og prófið frá ytri vél segir til um hvort flutningsaðilinn hleypi höfninni yfirleitt í gegn. Hlustandi sem svarar staðbundið getur samt verið lokaður ofar, svo berðu saman eigið WAN-vistfang beinisins við það sem ytri þjónusta tilkynnir.