VPN туннелі ешқашан қосылмайды: пакеттер шын мәнінде қайда тоқтайды

Ешқашан қалыптаспайтын туннель екі жақта да бос журнал қалдырады. GRE, ESP немесе UDP 4500 тасталып жатқанын қадағалап, серверді өңдеу алдында оператордың NAT-ын анықтаңыз.

Клиент қайта-қайта әрекет етеді, журнал қол алысу аяқталмай тұрып тоқтайды, ал сервер мүлде ештеңе жазбайды. Бұл үлгі назарды тіркелгі деректерінен жолдың өзіне аударады: екі жақтың арасындағы бірдеме туннельге қажет протоколды тасымалдаудан бас тартады. Екі конфигурацияның кез келгеніне тиіспес бұрын пакеттердің қайда тоқтайтынын анықтаңыз, өйткені сүзілген протокол мен қате құпиясөз көп клиенттерде бірдей жылы шыққан қатені береді. Тесттер құны бойынша реттелген, ең арзаны бірінші.

Трафиктің қайда тоқтайтынын дәлелдеңіз

Бір уақытта клиенттің шығыс интерфейсінде және серверде түсіріңіз. Не кеткенін не келгенімен салыстырыңыз және айырмашылық қай бағытта көрінетінін жазып алыңыз.

Серверде ештеңе жоқ болса, жол немесе бірінші NAT трафикті тастап жатыр, ал жауапсыз келулер сервердегі қабырғаға немесе жоқ қайтару маршрутына меңзейді. Туннельдерді жиі аяқтайтын маршрутизатор көбіне пайдалы журнал жүргізбейді, сондықтан түсірілім жазбаға айналады. Барар порт пен протокол нөмірін жазыңыз, өйткені екі сәтсіздік те клиент диалогында бірдей көрінеді.

PPTP 47-протоколсыз өледі

PPTP басқаруды TCP 1723 арқылы, деректерін GRE ішінде тасымалдайды, ал GRE порт нөмірі емес, IP протоколы 47. Тек 1723-ті өткізу классикалық нәтиже береді: қосылым аутентификациядан өтеді, содан кейін үнсіз қалады, өйткені жүкті тасымалдайтын протокол үшін ереже жоқ. Клиент мұны қабылдамаған құпиясөзден ажырата алмайды, сондықтан түсірілім конфигурация өзгерістерінен бұрын болуы керек.

Өткізу кіріс бағыттауға қарсы бағытта жұмыс істейді, ал прошивка екеуіне де бір белгіні жиі қолданады, бұл бәрін шатастыруға жетеді. Linux клиентінде жергілікті қабырға GRE-ді маршрутизатор араласпай тұрып тастай алады, сондықтан 47-протоколға өз ережесі қажет және conntrack көмекшісі жүктелуі керек. Ubuntu-ның ufw осы ережелерді before файлында ұстайды, өйткені қарапайым allow ережелері протокол нөмірін білдіре алмайды. Содан кейін машинаны қайта қосудың орнына қабырғаны қайта жүктеңіз.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

Екі NAT артындағы L2TP және IPsec

L2TP IPsec ішінде кілт алмасу үшін UDP 500, NAT анықталғанда UDP 4500, және 50-протокол ретінде ESP қажет етеді. Олардың әрқайсысы жеке сүзіледі, сондықтан біреуіне рұқсат беретін ереже қалған екеуі туралы ештеңе дәлелдемейді. Тізбектей екі маршрутизатор әр пакетті екі рет аударады, ал шеттер не келісілгені туралы енді келіспейді.

Сыртқы модемді көпір режиміне қосыңыз немесе ішкі маршрутизаторда NAT-ты өшіріңіз, осылайша жария мекенжай туннельді аяқтайтын құрылғыға жетеді. Екеуі де мүмкін болмаса, туннель қос NAT шекарасының ішінен басталуы керек, онда аяқталмауы керек.

Оператор желілері және мекенжайларды бөлісу

WAN мекенжайы 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 немесе 100.64.0.0/10 ішінде болса, маршрутизаторда жария мекенжай жоқ және интернеттен келетін ешбір кіріс бағыттау оған жете алмайды. Оператор деңгейіндегі NAT күтпеген протоколдарды қосымша сүзеді, ал GRE мобильді желілерде жиі зардап шегеді. WAN мекенжайын маршрутизатордың өзінде салыстырыңыз, оның артындағы клиент үшін іздеу сайты хабарлаған мекенжаймен емес.

Сол маршрутизаторды сымды желіде іске қосу бір тестте оператор туралы қорытындыны конфигурация қатесінен ажыратады. Оператор протоколдан бас тартса, қалған нұсқалар 443-те басқа тасымал немесе іштен басталған туннель.

Порттарды жаппас бұрын тыңдаушылар тізімін оқыңыз

Алаңдатарлық порт сканерлеуі көбіне қосулы күйде жеткізілетін функциялар жиынтығы ғана. Тыңдаушыларды түгендеңіз, әр сокетті функцияға сәйкестендіріңіз, содан кейін портты бұғаттаудың орнына функцияны өшіріңіз, екі көрініс алшақтамас үшін.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

SoftEther әдепкі мәндері жақсы мысал: TCP 443, 992 және 5555, ал L2TP/IPsec және DNS-туннель функциялары өз сокеттерін қосады. Бұл функцияларды өшіру тыңдаушыларды жасырмайды, жояды, ал сыртқы хосттан тексеру оператор портты мүлде өткізе ме, соны айтады. Жергілікті жауап беретін тыңдаушы жоғары жақта жабық болуы мүмкін, сондықтан маршрутизатордың өз WAN мекенжайын сыртқы қызмет хабарлағанмен салыстырыңыз.

Қатысты мақалалар