Эмне үчүн бир эле роутердин артында бир гана VPN кардары туташат

Эки ноутбук бир үй тармагында турат, ал эми кеңсе VPN биринин так бирин кабыл алат. Экинчиси же убакыттан өтөт, же биринчиси ажыраганга чейин күтөт, эки аракеттин ортосунда эч ким кардардын жөндөөсүнө тийген жок. Кирүү маалыматтары бир мүнөт мурун иштегендердин эле өзү, жана бул аутентификация себеп эмес экенин көрсөткөн белги. Бул үлгүнү үч механизм жаратат, ал эми сервердин өз журналы кайсынысына туш болгонуңузду айтат.

Кардарга тийиштин алдында шлюздун журналын окуңуз

Эки аракет жөнүндөгү сервердин жазуусу биринчи суроого жооп берет, жана үч жолдун бири менен жооп берет. Эгер экинчи аракет ал журналда такыр көрүнбөсө, пакет угуучуга жетпеген, ал эми маселе үй роутерине же провайдердин жолуна таандык. Эгер журнал аракетти жазып, аны четке какса, туннель жеткен, башкача айтканда маселе кимдикте, лицензияда же сессия чегинде, зымдагы эч нерседе эмес. Эгер журнал ийгиликтүү сессияны жазып, кардар дагы эле ийгиликсиздик жөнүндө билдирсе, кайтуу жолун же эки кардарга бир туннел дареги берилип жатканын караңыз.

Телефон хотспоту бул топторду арзан ажыратат: биринчиси туташып турганда экинчи кардарды мобилдик маалымат аркылуу иштетиңиз. Ал жерде ийгилик үй тармагын көрсөтөт, ал эми ал жердеги ошол эле ийгиликсиздик шлюзду көрсөтөт, бул роутерди күнөөсүз калтырат. Эч бир жыйынтык жалгыз өзү чечүүчү эмес, бирок ар бири бир аракетте издөө мейкинин жарымын алып салат.

Бир нерсени өзгөртүүнүн алдында жыйынтыкты жазып коюңуз, анткени журналдын үч жыйынтыгы үч байланышсыз оңдоого алып барат. Үчөөнүн кайсынысын көргөнүңүздү айткан жазуу кардар катасынын скриншотунан кымбат.

Роутер GRE жана NAT-T менен эмне кылат

PPTP — классикалык күнөөкөр: башкаруу каналы TCP 1723, ал эми маалымат жолу GRE, башкача айтканда IP протоколу 47. Көптөгөн керектөөчү роутерлер бир башкаруу туташуусун көзөмөлдөгөн PPTP жардамчысы менен келет, ошондуктан ошол NAT артындагы экинчи кардар өзүнүн башкаруу каналын ачат да, андан кийин маалымат жолун такыр албайт. 47 номурлуу TCP портун багыттоо GRE үчүн эч нерсе кылбайт, анткени GRE порт эмес, протокол номуру.

L2TP IPsec үстүндө долбоору боюнча башкача иштейт: IKE UDP 500 колдонот, NAT аркылуу өтүү корголгон жүктү UDP 4500гө жылдырат, ал эми инкапсуляция дал бир даректин артындагы бир нече кардардын бир шлюзга жетиши үчүн бар. Бул долбоор шлюздун же ортодогу түзмөктүн ар бир дарекке сессия чегин коюшуна тоскоол болбойт, ал эми дивандан караганда эки ийгиликсиздик бирдей көрүнөт. SoftEtherдин өз протоколунда да ушундай класстагы маселе бар: иштеген өткөрүүсү жок роутер жергиликтүү тармактан биринчи кардарды киргизип, экинчисин таштайт. Роутердин ALG же өткөрүү которгучун эки абалда тең текшериңиз, анткени эски кардар үчүн жазылган жардамчы азыркы кардар жөнөткөн пакеттерди бузушу мүмкүн.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Ташуу чегине окшош кимдик чектери

Роутер жалгыз шектүү эмес, ал эми журнал аны баламадан ажыратат. OpenVPN сервери жалпы атты бир туннел дарегине бекиткенде, эки түзмөк тең ошол даректи алат, ал эми duplicate-cn жок болсо жаңы сессия эскисин сүрүп чыгарат. Ошол опцияны күйгүзүү экөөнү тең туташкан бойдон калтырат, бирок аларды бир кимдик, бир сертификат жана бир жокко чыгаруу чечими менен калтырат, бул көрүнгөндөн жаман. Анда экинчи түзмөктү эч качан өзүнчө жокко чыгаруу мүмкүн болбойт, ошондуктан ыңгайлуулук которгучу кийин керек болушу мүмкүн болгон көзөмөлдү унчукпай алып салат.

Сервердин журналын жана анын абал файлын чогуу окуңуз, анткени бири аутентификация чечимин, экинчиси азыр ким туташканын көрсөтөт. Жалпы аты жана бир виртуалдык дареги бирдей болгон эки жазуу роутердин чегин эмес, кимдик кагылышын тастыктайт. Коммерциялык шлюздер өз чектерин кошот, мисалы бир убакытта бир сессияга уруксат берген тариф, лицензиянын саны же ар бир коомдук дарекке бир сессияга уруксат берген эреже, жана роутердин эч бир параметри алардын эч бирин өзгөртпөйт.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Оңдоону журнал жазуусуна дал келтириңиз

Журналдагы баш тартуу ар бир түзмөк үчүн өзүнчө кирүү маалыматын, кызматты жүргүзгөндөн жогору чекти же бир машина үчүн экинчи шлюз акыркы чекитин талап кылат. Эч бир экинчи аракет серверге жетпесе, туруктуу оңдоо — протоколду өткөргөн жана бирден ашык сессияны кармаган роутер же роутер жакшы өздөштүргөн ташуу, мисалы бир TCP же UDP агымы. Алардын ортосунда тандоо аппаратуранын кызмат мөөнөтү жөнүндө чечим, кардардын жөндөөлөрү жөнүндө эмес.

Иштеп жаткан түзмөктүн профилин экинчи машинага көчүрүп, ишти бүттү деп эсептебеңиз. Бул туташуу маселесин кирүүнү көзөмөлдөө маселесине айландырат, анткени жоголгон ноутбукту дагы эле колдонуудагы көчүрмөдөн ажыратуу мүмкүн эмес. Ал ошондой эле баштапкы кемчиликти жашырат, ал үчүнчү түзмөк пайда болгон учурда кайра келет.

Эки тирүү сессияны текшерүү

Эки түзмөктү бир убакта туташтырыңыз, ар биринде көздөлгөн колдонмону иштетиңиз, анан бирин кайра туташтырып, кайталаңыз. Бир учурга пайда болгон экинчи белги трафик жөнүндө эч нерсени далилдебейт, ал эми он мүнөттөн кийин кулаган сессия — башка ээси бар башка кемчилик. Сервердин аягында билдиргенин колдонуучулар көргөн менен салыштырыңыз, анткени бул эки баян көп учурда дал келбейт.

Эгер эки сессия тең аман калып, трафик ташыса, оңдоо кармалат, ал эми башында жазган жазууңуз эмне туура эмес болгонунун жазуусуна айланат. Эгер бирөө гана аман калса, биринчи кадамга кайтып, азыр журналдын үч жыйынтыгынын кайсынысы бар экенин текшериңиз, анткени жооп өзгөргөн болушу мүмкүн. Роутердин жардамчылары башка тармакта кайра пайда болгон маселени жашыра алат, ал эми ар бир дарекке чек түзмөктү эмес, колдонуучуну ээрчийт. Экинчи тармактан текшерүү — ушулардын кайсынысын чындап оңдогонуңузду билүүнүн эң арзан жолу.