VPN ಟನೆಲ್ ಎಂದಿಗೂ ಸಂಪರ್ಕಗೊಳ್ಳುವುದಿಲ್ಲ: ಪ್ಯಾಕೆಟ್‌ಗಳು ನಿಜವಾಗಿ ಎಲ್ಲಿ ನಿಲ್ಲುತ್ತವೆ

ಎಂದಿಗೂ ರೂಪುಗೊಳ್ಳದ ಟನೆಲ್ ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಖಾಲಿ ಲಾಗ್ ಬಿಡುತ್ತದೆ. GRE, ESP ಅಥವಾ UDP 4500 ಬಿಡಲಾಗುತ್ತಿದೆಯೇ ಎಂದು ಪತ್ತೆ ಮಾಡಿ, ಮತ್ತು ಸರ್ವರ್ ಸಂಪಾದಿಸುವ ಮೊದಲು ಕ್ಯಾರಿಯರ್ NAT ಗುರುತಿಸಿ.

ಕ್ಲೈಂಟ್ ಮತ್ತೆ ಮತ್ತೆ ಪ್ರಯತ್ನಿಸುತ್ತಲೇ ಇರುತ್ತದೆ, ಹ್ಯಾಂಡ್‌ಶೇಕ್ ಪೂರ್ಣಗೊಳ್ಳುವ ಮೊದಲೇ ಲಾಗ್ ನಿಲ್ಲುತ್ತದೆ, ಮತ್ತು ಸರ್ವರ್ ಏನನ್ನೂ ದಾಖಲಿಸುವುದಿಲ್ಲ. ಈ ಮಾದರಿ ಗಮನವನ್ನು ರುಜುವಾತುಗಳಿಂದ ದೂರ ಸರಿಸಿ ಮಾರ್ಗದ ಕಡೆಗೆ ತಿರುಗಿಸುತ್ತದೆ: ಎರಡೂ ತುದಿಗಳ ನಡುವೆ ಏನೋ ಟನೆಲ್‌ಗೆ ಬೇಕಾದ ಪ್ರೋಟೋಕಾಲ್ ಸಾಗಿಸಲು ನಿರಾಕರಿಸುತ್ತದೆ. ಯಾವುದೇ ಒಂದು ಸಂರಚನೆಯನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ಪ್ಯಾಕೆಟ್‌ಗಳು ಎಲ್ಲಿ ನಿಲ್ಲುತ್ತವೆ ಎಂದು ನಿರ್ಧರಿಸಿ, ಏಕೆಂದರೆ ಫಿಲ್ಟರ್ ಆದ ಪ್ರೋಟೋಕಾಲ್ ಮತ್ತು ತಪ್ಪು ಪಾಸ್‌ವರ್ಡ್ ಹೆಚ್ಚಿನ ಕ್ಲೈಂಟ್‌ಗಳಲ್ಲಿ ಒಂದೇ ಸ್ನೇಹಪರ ದೋಷವನ್ನು ನೀಡುತ್ತವೆ. ಪರೀಕ್ಷೆಗಳು ವೆಚ್ಚದ ಕ್ರಮದಲ್ಲಿವೆ, ಅಗ್ಗದ್ದು ಮೊದಲು.

ಸಂಚಾರ ಎಲ್ಲಿ ನಿಲ್ಲುತ್ತದೆ ಎಂದು ಸಾಬೀತು ಮಾಡಿ

ಒಂದೇ ಸಮಯದಲ್ಲಿ ಕ್ಲೈಂಟ್‌ನ ಔಟ್‌ಬೌಂಡ್ ಇಂಟರ್ಫೇಸ್‌ನಲ್ಲಿ ಮತ್ತು ಸರ್ವರ್‌ನಲ್ಲಿ ಸೆರೆಹಿಡಿಯಿರಿ. ಹೊರಟದ್ದನ್ನು ಬಂದದ್ದರೊಂದಿಗೆ ಹೋಲಿಸಿ, ಮತ್ತು ವ್ಯತ್ಯಾಸ ಯಾವ ದಿಕ್ಕಿನಲ್ಲಿ ಕಾಣುತ್ತದೆ ಎಂದು ಗಮನಿಸಿ.

ಸರ್ವರ್‌ನಲ್ಲಿ ಏನೂ ಇಲ್ಲದಿರುವುದು ಮಾರ್ಗ ಅಥವಾ ಮೊದಲ NAT ಸಂಚಾರವನ್ನು ಬಿಡುತ್ತಿದೆ ಎಂದರ್ಥ, ಆದರೆ ಉತ್ತರವಿಲ್ಲದ ಆಗಮನಗಳು ಸರ್ವರ್‌ನ ಫೈರ್‌ವಾಲ್ ಅಥವಾ ಇಲ್ಲದ ಮರಳು ಮಾರ್ಗವನ್ನು ಸೂಚಿಸುತ್ತವೆ. ಟನೆಲ್‌ಗಳನ್ನು ಆಗಾಗ್ಗೆ ಕೊನೆಗೊಳಿಸುವ ರೂಟರ್ ಸಾಮಾನ್ಯವಾಗಿ ಉಪಯುಕ್ತ ಲಾಗ್ ಇಟ್ಟುಕೊಳ್ಳುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಸೆರೆಹಿಡಿಯುವಿಕೆಯೇ ದಾಖಲೆ ಆಗುತ್ತದೆ. ಗಮ್ಯ ಪೋರ್ಟ್ ಮತ್ತು ಪ್ರೋಟೋಕಾಲ್ ಸಂಖ್ಯೆ ಬರೆದಿಡಿ, ಏಕೆಂದರೆ ಎರಡೂ ವೈಫಲ್ಯಗಳು ಕ್ಲೈಂಟ್ ಸಂವಾದದಲ್ಲಿ ಒಂದೇ ರೀತಿ ಕಾಣುತ್ತವೆ.

ಪ್ರೋಟೋಕಾಲ್ 47 ಇಲ್ಲದೆ PPTP ಸಾಯುತ್ತದೆ

PPTP ನಿಯಂತ್ರಣವನ್ನು TCP 1723 ಮೇಲೆ ಮತ್ತು ಡೇಟಾವನ್ನು GRE ಒಳಗೆ ಸಾಗಿಸುತ್ತದೆ, ಅದು ಪೋರ್ಟ್ ಸಂಖ್ಯೆ ಅಲ್ಲ, IP ಪ್ರೋಟೋಕಾಲ್ 47. ಕೇವಲ 1723 ರವಾನಿಸಿದರೆ ಸಾಂಪ್ರದಾಯಿಕ ಫಲಿತಾಂಶ ಬರುತ್ತದೆ: ಸಂಪರ್ಕ ದೃಢೀಕರಣಗೊಂಡು ನಂತರ ಮೌನವಾಗುತ್ತದೆ, ಏಕೆಂದರೆ ಪೇಲೋಡ್ ಸಾಗಿಸುವ ಪ್ರೋಟೋಕಾಲ್‌ಗೆ ಯಾವುದೇ ನಿಯಮವಿಲ್ಲ. ಕ್ಲೈಂಟ್ ಇದನ್ನು ತಿರಸ್ಕೃತ ಪಾಸ್‌ವರ್ಡ್‌ನಿಂದ ಪ್ರತ್ಯೇಕಿಸಲಾರದು, ಆದ್ದರಿಂದ ಸೆರೆಹಿಡಿಯುವಿಕೆ ಸಂರಚನಾ ಬದಲಾವಣೆಗಳ ಮೊದಲು ಬರಬೇಕು.

ಪಾಸ್‌ಥ್ರೂ ಒಳಬರುವ ರವಾನೆಯ ವಿರುದ್ಧ ದಿಕ್ಕಿನಲ್ಲಿ ಚಲಿಸುತ್ತದೆ, ಮತ್ತು ಫರ್ಮ್‌ವೇರ್ ಎರಡಕ್ಕೂ ಒಂದೇ ಲೇಬಲ್ ಬಳಸುವುದು ಎಲ್ಲರನ್ನೂ ಗೊಂದಲಗೊಳಿಸಲು ಸಾಕು. Linux ಕ್ಲೈಂಟ್‌ನಲ್ಲಿ ಸ್ಥಳೀಯ ಫೈರ್‌ವಾಲ್ ರೂಟರ್ ಒಳಗಾಗುವ ಬಹಳ ಮೊದಲೇ GRE ಬಿಡಬಹುದು, ಆದ್ದರಿಂದ ಪ್ರೋಟೋಕಾಲ್ 47 ಗೆ ತನ್ನದೇ ನಿಯಮ ಬೇಕು ಮತ್ತು conntrack ಸಹಾಯಕ ಲೋಡ್ ಆಗಿರಬೇಕು. Ubuntu ನ ufw ಈ ನಿಯಮಗಳನ್ನು before ಕಡತದಲ್ಲಿ ಇಡುತ್ತದೆ, ಏಕೆಂದರೆ ಸಾಮಾನ್ಯ allow ನಿಯಮಗಳು ಪ್ರೋಟೋಕಾಲ್ ಸಂಖ್ಯೆ ವ್ಯಕ್ತಪಡಿಸಲಾರವು. ನಂತರ ಯಂತ್ರವನ್ನು ಮರುಚಾಲನೆ ಮಾಡುವ ಬದಲು ಫೈರ್‌ವಾಲ್ ಮರುಲೋಡ್ ಮಾಡಿ.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

ಎರಡು NAT ಹಿಂದೆ L2TP ಮತ್ತು IPsec

L2TP IPsec ಒಳಗೆ ಕೀ ವಿನಿಮಯಕ್ಕೆ UDP 500, NAT ಕಂಡುಬಂದಾಗ UDP 4500, ಮತ್ತು ಪ್ರೋಟೋಕಾಲ್ 50 ಆಗಿ ESP ಬೇಕು. ಅವುಗಳಲ್ಲಿ ಪ್ರತಿಯೊಂದೂ ಸ್ವತಂತ್ರವಾಗಿ ಫಿಲ್ಟರ್ ಆಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಒಂದನ್ನು ಅನುಮತಿಸುವ ನಿಯಮ ಉಳಿದ ಎರಡರ ಬಗ್ಗೆ ಏನನ್ನೂ ಸಾಬೀತು ಮಾಡುವುದಿಲ್ಲ. ಸರಣಿಯಲ್ಲಿ ಎರಡು ರೂಟರ್‌ಗಳು ಪ್ರತಿ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಎರಡು ಬಾರಿ ಅನುವಾದಿಸುತ್ತವೆ, ಮತ್ತು ತುದಿಗಳು ಏನು ಮಾತುಕತೆ ಆಯಿತು ಎಂಬುದರಲ್ಲಿ ಇನ್ನು ಒಪ್ಪುವುದಿಲ್ಲ.

ಹೊರಗಿನ ಮೋಡೆಮ್ ಅನ್ನು ಬ್ರಿಡ್ಜ್ ಮಾಡಿ, ಅಥವಾ ಒಳಗಿನ ರೂಟರ್‌ನಲ್ಲಿ NAT ಆಫ್ ಮಾಡಿ, ಸಾರ್ವಜನಿಕ ವಿಳಾಸವು ಟನೆಲ್ ಕೊನೆಗೊಳಿಸುವ ಸಾಧನವನ್ನು ತಲುಪುವಂತೆ. ಎರಡೂ ಸಾಧ್ಯವಿಲ್ಲದಿದ್ದರೆ, ಟನೆಲ್ ಅನ್ನು ಎರಡು NAT ಗಡಿಯ ಒಳಗಿನಿಂದ ಪ್ರಾರಂಭಿಸಬೇಕು, ಅಲ್ಲಿ ಕೊನೆಗೊಳಿಸಬಾರದು.

ಕ್ಯಾರಿಯರ್ ನೆಟ್‌ವರ್ಕ್‌ಗಳು ಮತ್ತು ವಿಳಾಸ ಹಂಚಿಕೆ

WAN ವಿಳಾಸವು 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 ಅಥವಾ 100.64.0.0/10 ಒಳಗಿದ್ದರೆ ರೂಟರ್‌ಗೆ ಸಾರ್ವಜನಿಕ ವಿಳಾಸವಿಲ್ಲ ಮತ್ತು ಇಂಟರ್ನೆಟ್‌ನಿಂದ ಯಾವುದೇ ಒಳಬರುವ ರವಾನೆ ಅದನ್ನು ತಲುಪಲಾರದು. ಕ್ಯಾರಿಯರ್-ಗ್ರೇಡ್ NAT ನಿರೀಕ್ಷಿಸದ ಪ್ರೋಟೋಕಾಲ್‌ಗಳನ್ನೂ ಫಿಲ್ಟರ್ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಮೊಬೈಲ್ ಲಿಂಕ್‌ಗಳಲ್ಲಿ GRE ಆಗಾಗ್ಗೆ ಬಲಿಯಾಗುತ್ತದೆ. ರೂಟರ್‌ನ ಮೇಲೆಯೇ ಇರುವ WAN ವಿಳಾಸವನ್ನು ಹೋಲಿಸಿ, ಅದರ ಹಿಂದಿನ ಕ್ಲೈಂಟ್‌ಗೆ ಲುಕ್‌ಅಪ್ ಸೈಟ್ ಹೇಳುವ ವಿಳಾಸವನ್ನಲ್ಲ.

ಅದೇ ರೂಟರ್ ಅನ್ನು ತಂತಿ ಮಾರ್ಗದಲ್ಲಿ ಚಲಾಯಿಸುವುದು ಒಂದೇ ಪರೀಕ್ಷೆಯಲ್ಲಿ ಕ್ಯಾರಿಯರ್ ಸಂಬಂಧಿ ಕಂಡುಬಂದದ್ದನ್ನು ಸಂರಚನಾ ದೋಷದಿಂದ ಬೇರ್ಪಡಿಸುತ್ತದೆ. ಕ್ಯಾರಿಯರ್ ಪ್ರೋಟೋಕಾಲ್ ನಿರಾಕರಿಸಿದರೆ, ಉಳಿದ ಆಯ್ಕೆಗಳು 443 ನಲ್ಲಿ ಬೇರೆ ಸಾಗಣೆ ಅಥವಾ ಒಳಗಿನಿಂದ ಪ್ರಾರಂಭವಾಗುವ ಟನೆಲ್.

ಪೋರ್ಟ್‌ಗಳನ್ನು ಮುಚ್ಚುವ ಮೊದಲು ಆಲಿಸುವವರ ಪಟ್ಟಿ ಓದಿ

ಆತಂಕಕಾರಿ ಪೋರ್ಟ್ ಸ್ಕ್ಯಾನ್ ಸಾಮಾನ್ಯವಾಗಿ ಆನ್ ಆಗಿಯೇ ಬರುವ ವೈಶಿಷ್ಟ್ಯಗಳ ಗುಂಪು ಮಾತ್ರ. ಆಲಿಸುವವರನ್ನು ಪಟ್ಟಿ ಮಾಡಿ, ಪ್ರತಿ ಸಾಕೆಟ್ ಅನ್ನು ವೈಶಿಷ್ಟ್ಯಕ್ಕೆ ಹೊಂದಿಸಿ, ನಂತರ ಪೋರ್ಟ್ ಬ್ಲಾಕ್ ಮಾಡುವ ಬದಲು ವೈಶಿಷ್ಟ್ಯ ಆಫ್ ಮಾಡಿ, ಎರಡೂ ದೃಶ್ಯಗಳು ಬೇರೆಯಾಗದಂತೆ.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

SoftEther ನ ಡೀಫಾಲ್ಟ್‌ಗಳು ಒಳ್ಳೆಯ ಉದಾಹರಣೆ: TCP 443, 992 ಮತ್ತು 5555, ಜೊತೆಗೆ L2TP/IPsec ಮತ್ತು DNS-ಟನೆಲ್ ವೈಶಿಷ್ಟ್ಯಗಳು ತಮ್ಮ ಸಾಕೆಟ್‌ಗಳನ್ನು ಸೇರಿಸುತ್ತವೆ. ಆ ವೈಶಿಷ್ಟ್ಯಗಳನ್ನು ಆಫ್ ಮಾಡಿದರೆ ಆಲಿಸುವವರು ಮರೆಯಾಗುವ ಬದಲು ತೊಲಗುತ್ತಾರೆ, ಮತ್ತು ಹೊರಗಿನ ಹೋಸ್ಟ್‌ನಿಂದ ಪರೀಕ್ಷೆ ಕ್ಯಾರಿಯರ್ ಪೋರ್ಟ್ ಬಿಡುತ್ತದೆಯೇ ಎಂದು ಹೇಳುತ್ತದೆ. ಸ್ಥಳೀಯವಾಗಿ ಉತ್ತರಿಸುವ ಆಲಿಸುವವರು ಮೇಲ್ಭಾಗದಲ್ಲಿ ಮುಚ್ಚಿರಬಹುದು, ಆದ್ದರಿಂದ ರೂಟರ್‌ನ ಸ್ವಂತ WAN ವಿಳಾಸವನ್ನು ಹೊರಗಿನ ಸೇವೆ ವರದಿ ಮಾಡುವುದರೊಂದಿಗೆ ಹೋಲಿಸಿ.

ಸಂಬಂಧಿತ ಲೇಖನಗಳು