PPP негизиндеги VPN'ден анын божомолдорун көчүрбөй өтүү

VPN өтүүсү колдонуучулар, бара турган жерлер, аттарды чечүү жана бузулуу учурундагы жүрүм-турум дагы эле туура болгондо бүтөт, жаңы клиент жашыл белги көрсөткөндө эмес. Эски PPP негизиндеги жайылтуулар эч качан жазылбаган божомолдорду алып жүрөт: жалгыз инсандык текшерүү да болгон жалпы сыр, тармактык калкан уруксат тизмесинде кармаган туруктуу дарек пулу жана сервер жиберген DNS уландысы. Ошол божомолдорду тизмелебей протоколду алмаштыруу кол кармашууну бүткөргөн туннель жана жок чек араны берет. Төмөнкү тартип — мен колдонгон тартип, ал эми акыркы кадам — командалар өткөрүп жиберген кадам.

1-кадам: эски байланыш эмне берерин тизмелеңиз

Тизме эстелип калбайт, жазылат. Колдоого алынган клиенттерди, аутентификация ролдорун, дарек пулдарын, корголгон тармактарды, DNS талаптарын жана ар бир колдонуучу тобуна керектүү кызмат уруксаттарын жазыңыз.

L2TP/IPsec үчүн эки катмарды так бөлүңүз. IPsec өнөктөшүнүн инсандыгы машиналарды аутентификациялайт; PPP колдонуучуну аутентификациялайт, адатта CHAP же MSCHAPv2 менен.

Эски жайылтуулар божомолдорун дал ушул бөлүүдө жашырат. Ар бир клиент бөлүшкөн алдын ала жалпы ачкыч түзмөктү эмес, топту аутентификациялайт, жана көбүнчө бул бир да жолу алмаштырылган жалгыз нерсе. Эгер PPP эсеби чыныгы колдонуучу боюнча көзөмөл болсо, аны айтыңыз, анткени алмаштырма ошол көзөмөлдү жалпы сап эмес нерсе менен кайра жаратышы керек. Туруктуу булак даректерин жана жергиликтүү тармактын өзгөчөлүктөрүн да жазып коюңуз, анткени булар — бузулганга чейин эч ким документтештирбеген көз карандылыктар.

2-кадам: алмаштырманы атайылап долбоорлоңуз

Алмаштырманы тандоо — талап боюнча талапты салыштыруу: уюм колдогон протокол жана тейленүүчү клиент, ар бир инсандык жана кирүү талабы чыныгы механизмге түшөт. Жалпы сыр автоматтык түрдө түзмөк боюнча ачкычка же сертификатка барабар эмес, ал эми колдонуучу боюнча PPP эсеби түзмөк сертификатына барабар эмес.

Дарек диапазондору баарынан мурун макулдашыңыз, анткени үй же кеңсе LAN'ы менен кабатташкан алмаштырма пул шифрдин күчүнө тиешеси жок бузулуу жаратат. Пулду эски кызмат үчүн түзгөн ошол эле тизме менен, ошондой эле жаңы клиент демейки түрдө божомолдогон нерселер менен текшериңиз. Корголгон тармактар үчүн кайтарма маршруттоону ырастаңыз жана жаңы клиент эскиси жиберген DNS уландысын жибере же документтештире аларын ырастаңыз. Ушул эки пункт протоколду алмаштыруудан да көп өтүү билеттерин жаратат.

3-кадам: этап-этабы менен киргизип, уруксатты да, тыюуну да текшериңиз

Бир өкүл колдонуучу жана бир өкүл колдонмо менен киргизиңиз. Сыноого жеке DNS чечүүсүн кошуңуз, анткени дарекке жеткен, бирок ички атты чече албаган туннель жарым гана өткөрүлгөн. Күтүлгөн жеткиликсиз абалды да кошуңуз: туннель кулаганда эмне болушу керек жана клиент аны аткарабы.

Андан кийин тыюу салынган бойдон калышы керек болгон жерди сынаңыз. Кең убактылуу уруксат эрежеси жаңы туннелди соо көрсөтүп, эски кызмат колдогон авторизация чегин үнсүз алып салышы мүмкүн, жана муну аудитке чейин эч ким байкабайт. Уруксат жана тыюу жыйынтыктарын жанаша салыштырыңыз, ошол эле клиенттен, ошол эле сессияда. Эки тилке тең долбоорго дал келгенге чейин эски кызматты иштеп туруңуз.

Администратордук кирүүнү жылдырганга чейин, өзгөртүп жаткан туннелге көз каранды эмес уруксат берилген калыбына келтирүү жолуңуз бар экенин ырастаңыз.

4-кадам: эски инсандыкты жоюңуз

Эски инсандыкты туура жоюу — эскирген колдонуучуларды жана түзмөк далилдерин аларга ээ болгон кызмат аркылуу жокко чыгаруу, андан кийин көз карандылык калбаганда эски профилдерди жана угуучуларды алып салуу. Жергиликтүү файлды жок кылуу башка жердеги көчүрмөнү жокко чыгарбайт, ал эми эски жалпы сырды дагы эле кабыл алган эски угуучу — көзөмөлсүз эшик.

Бул жерде акырындаган жөн. Ноутбуктагы жоюлган клиент профили — жокко чыгарылган далил эмес; далил серверде жашайт жана сервер аны кабыл алууну токтотконго чейин жарактуу бойдон калат. Эски конфигурациянын башка көчүрмөлөрүн издеңиз — сыноо түзмөктөрү, унутулган телефон, бирөө сактап койгон орнотуучу — жана угуучуну өчүрүүнү эски кызмат чындап бүткөн учур деп эсептеңиз. Ошого чейин өтүүнүн эки алдыңкы эшиги бар.

Кабыл алуу жазуусу — биринчи кадамдын тизмесине кошулган тилке: жаңы долбоор ар бир сап үчүн эмне кылат жана сиз аны кантип текшердиңиз. Бул протокол жаңыртуусун далилдүү кызмат талабына айландырат.

Жыйынтыкты протоколдун атына эмес, кызматка керектүү нерсеге байлап кармаңыз, анткени эски божомолдор көчүрүлгөн заманбап протокол — жакшыраак алкак менен келген ошол эле тобокелдик. RFC 3193 L2TP'нин IPsec үстүндө кантип ташыларын сүрөттөйт, бул эки катмар ар дайым өзүнчө чечим болгонун эске салат. Эгер тизмеде түшүндүрө албаган сап болсо, токтоп, ага эмне көз каранды экенин аныктаңыз. Тизме кызыксыз болгондо өтүү бүтөт.