PPTP verbënnt sech an hänkt duerno nach Linux NAT: den GRE-Helfer

Een leet 1723 weider, de Client erreecht de Server, d'Authentifikatioun fänkt un, an dann hält alles op ouni Feeler. D'natierlech Konklusioun ass e falscht Passwuert, dofir gëtt d'Passwuert dräimol nei getippt. D'Weiderleitung war gutt an d'Zougangsdaten waren gutt. Dat wat kaputt gaang ass, ass en zweet Protokoll, dat d'Weiderleitung ni ëmfaasst huet, an eng Kernel-Standardastellung, déi roueg opgehal huet dobäi ze hëllefen.

D'Weiderleitung war ni de Problem

Eng Portweiderleitungsregel beschreift TCP- oder UDP-Trafic. Si kann keng Belaaschtung beschreiwen, déi mëttel an enger Sitzung op en anert IP-Protokoll wiesselt, an PPTP mécht genau dat.

Dofir gesäit d'Verbindung gesond aus bis zu deem Moment wou se hänkt. Deen Deel, deen eng Portregel kontrolléiere kann, huet funktionnéiert, an deen Deel, deen se net kontrolléiere kann, ass deen Deel, deen ausgefall ass.

TCP fir d'Kontroll, GRE fir d'Daten

Den Uruff gëtt iwwer TCP 1723 ausgehandelt. Wann en steet, geet d'Belaaschtung an GRE, IP-Protokoll 47, dat iwwerhaapt keng Portnummeren dréit. Eng Regel, déi op Porte setzt, huet näischt fir ze vergläichen.

Wat GRE dréit ass eng Uruffidentitéit an sengem Header, an den NAT-Iwwersetzer muss dat Feld konsequent a béid Richtunge schreiwen, soss halen déi zwou Hälften vun der Sitzung op sech eens ze sinn. Eng Richtung ëmgeschriwwen an déi aner net gëtt eng Sitzung, déi sech authentifizéiert an dann all Datepaket verwëft. Dat ass genau d'Form vum Symptom: Succès, dann Stëllt.

Nackte GRE ouni PPTP brauch keng esou Ëmschreiwung, dofir kann en normale GRE-Tunnel duerch e Router funktionnéieren, deen fir en PPTP-Client op déiselwecht Streck ausfällt.

Véier Moduler an e sysctl, deen se ausgeschalt huet

Zwee Moduler huelen d'Framing, nf_conntrack_proto_gre an nf_nat_proto_gre. Zwee aner huelen d'Uruffidentitéit, nf_conntrack_pptp an nf_nat_pptp. D'Luede vum leschte zitt déi aner iwwer Ofhängegkeeten eran, dofir soll eng Modullëscht all véier weisen.

Méi al Uleidungen benotzen en ip_-Präfix aus der 2.6-Zäit. Dës Kommandoen kënnen ausgesinn wéi wa se lafen, während se näischt lueden, dofir kontrolléiert d'geluede Lëscht an net den Exit-Status.

Se gelueden ze hunn ass net méi genuch. Zanter Linux 4.7 ass de sysctl net.netfilter.nf_conntrack_helper standardméisseg 0, wat d'automatesch Helfer-Zouweisung fir nei Flëss ausschalt. E Router kann all Modul hunn an trotzdem näischt iwwersetzen. Kontrolléiert den effektive Wäert ier Dir d'Modullëscht nach eng kéier kuckt.

Entweder schalt d'automatesch Zouweisung global erëm un, oder befesteg den Helfer un d'Flëss déi en brauchen an loosst alles anescht a Rou:

iptables -t raw -A PREROUTING -p tcp --dport 1723 -j CT --helper pptp

Déi zweet Optioun ass déi viropzezéien. Si begrenzt d'Verhalen op PPTP-Trafic amplaz d'automatesch Zouweisung iwwer de ganze Router erëm z'aktivéieren.

En Protokoll opmaachen, deen keng Porte huet

Eng Firewallregel déi 1723 erlaabt seet näischt iwwer Protokoll 47. Op firewalld erlaabt de Protokoll an der Zone déi zum Client weist. Op einfachem iptables akzeptéiert de gre-Protokoll an der Input-Kette.

Dann fänk op béide Säiten. Pakete déi de Client verloossen ouni datt Äntwerten ukommen heescht de Réckwee gëtt gefiltert, an dat ass en anere Feeler wéi en ofgeleenten Zougangsdatum.

Nodeem en verbonnen huet, d'Gréisstlimit

GRE setzt en Header an, an PPP dobannen setzt nach méi derbäi, dofir mellt eng funktionéierend Verbindung eng MTU wäit ënner 1500. Kleng Äntwerten lueden a grouss bleiwen hänken, wat wéi en zweet, onverbonnen Problem ausgesäit dat an deem Ament opdaucht wou dat éischt geléist ass.

Lies d'MTU um PPP-Adapter vum Client an bréng se mat der Berechnung vum Router selwer an Einklang amplaz d'Zuelen erofzesetzen bis eppes funktionéiert. Pakete vu voller Gréisst déi erausginn ouni datt eppes zréckkënnt weisen op dee Limit an net op d'Iwwersetzung.

De Wee reparéieren mécht de Benotzer a Betrib, an et mécht PPTP keng gutt Wiel. MS-CHAPv2 an RC4 sinn laang veräuscht, dofir behandelt d'Luede vun de Modulen als temporär Korrektur a plangt de Wiessel op en ënnerhalene Protokoll.