VPN туннели эч качан туташпайт: пакеттер чындыгында кайда токтойт

Кардар кайра-кайра аракет кылат, журнал кол алышуу аяктай электе токтойт, ал эми сервер такыр эч нерсе жазбайт. Бул үлгү көңүлдү каттоо маалыматтарынан алыстатып, жолдун өзүнө бурат: эки тараптын ортосунда бир нерсе туннелге керек протоколду ташуудан баш тартат. Эки конфигурациянын кайсынысына болбосун тийишпей туруп, пакеттер кайда токтой турганын аныктаңыз, анткени чыпкаланган протокол да, туура эмес сырсөз да көпчүлүк кардарларда бирдей жылуу катаны берет. Тесттер баасы боюнча иреттелген, эң арзаны биринчи.

Трафик кайда токтой турганын далилдеңиз

Бир убакта кардардын чыгуучу интерфейсинде жана серверде жазып алыңыз. Эмне кеткенин эмне келгени менен салыштырыңыз жана айырма кайсы багытта көрүнөрүн белгилеңиз.

Серверде эч нерсе жок болсо, жол же биринчи NAT трафикти таштап жатат, ал эми жоопсуз келүүлөр сервердеги дубалга же жок кайтаруу маршрутуна көрсөтөт. Туннелдерди көп аяктаган роутер көбүнчө пайдалуу журнал жүргүзбөйт, ошондуктан жазуу эсепке айланат. Бара турган портту жана протоколдун номерин жазыңыз, анткени эки ката тең кардардын диалогунда бирдей көрүнөт.

PPTP 47-протоколсуз өлөт

PPTP башкарууну TCP 1723 аркылуу, маалыматтарын GRE ичинде ташыйт, ал эми GRE порт номери эмес, IP протоколу 47. 1723-тү гана өткөрүү классикалык натыйжаны берет: байланыш аутентификациядан өтүп, анан үнсүз калат, анткени жүктү ташуучу протокол үчүн эреже жок. Кардар муну четке кагылган сырсөздөн ажырата албайт, ошондуктан жазуу конфигурация өзгөртүүлөрүнөн мурун болушу керек.

Өткөрүү кирүүчү багыттоого каршы багытта иштейт, ал эми прошивка экөөнө тең бир белгини жетишерлик көп колдонот, бул баарын адаштырат. Linux кардарында жергиликтүү дубал GRE'ни роутер аралашпай эле таштай алат, ошондуктан 47-протоколго өз эрежеси керек жана conntrack жардамчысы жүктөлүшү керек. Ubuntu'нун ufw бул эрежелерди before файлында кармайт, анткени жөнөкөй allow эрежелери протокол номерин билдире албайт. Андан кийин машинаны кайра күйгүзүүнүн ордуна дубалды кайра жүктөңүз.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

Эки NAT артындагы L2TP жана IPsec

L2TP IPsec ичинде ачкыч алмашуу үчүн UDP 500, NAT аныкталганда UDP 4500, жана 50-протокол катары ESP талап кылат. Алардын ар бири өзүнчө чыпкаланат, ошондуктан бирине уруксат берген эреже калган экөө жөнүндө эч нерсе далилдебейт. Кезектешкен эки роутер ар бир пакетти эки жолу которот, ал эми учтары эмне келишилгени боюнча эми макул эмес.

Сырткы модемди көпүрө режимине которуңуз же ички роутерде NAT'ды өчүрүңүз, ошентип жарыя дарек туннелди аяктаган түзмөккө жетет. Экөө тең мүмкүн болбосо, туннель кош NAT чек арасынын ичинен башталышы керек, ал жерде аяктабашы керек.

Оператор тармактары жана даректерди бөлүшүү

WAN дареги 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 же 100.64.0.0/10 ичинде болсо, роутерде жарыя дарек жок жана интернеттен келген эч бир кирүүчү багыттоо ага жете албайт. Оператор деңгээлиндеги NAT күтүлбөгөн протоколдорду кошумча чыпкалайт, ал эми GRE мобилдик байланыштарда көп жабыркайт. WAN дарегин роутердин өзүндө салыштырыңыз, анын артындагы кардар үчүн издөө сайты билдирген дарек менен эмес.

Ошол эле роутерди зымдуу линияда иштетүү бир тестте оператор жөнүндөгү тыянакты конфигурация катасынан ажыратат. Оператор протоколдон баш тартса, калган варианттар 443-тө башка ташуу же ичтен башталган туннель.

Портторду жаппас мурун угуучулардын тизмесин окуңуз

Тынчсыздандырган порт скандоо көбүнчө күйүк күйүндө келген функциялардын жыйындысы гана. Угуучуларды тизмектеңиз, ар бир сокетти функцияга дал келтириңиз, анан портту бөгөттөөнүн ордуна функцияны өчүрүңүз, эки көрүнүш ажырабашы үчүн.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

SoftEther'дин демейки маанилери жакшы мисал: TCP 443, 992 жана 5555, ал эми L2TP/IPsec жана DNS-туннель функциялары өз сокеттерин кошот. Бул функцияларды өчүрүү угуучуларды жашырбайт, алып салат, ал эми сырткы хосттон текшерүү оператор портту такыр өткөрөбү, ошону айтат. Жергиликтүү жооп берген угуучу жогорку бөлүктө жабык болушу мүмкүн, ошондуктан роутердин өз WAN дарегин сырткы кызмат билдирген менен салыштырыңыз.