VPN-Tunnel verbënnt sech ni: wou d'Pakete wierklech stoppen

De Client probéiert ëmmer nees, de Log stoppt ier den Handshake fäerdeg ass, an de Server registréiert guer näischt. Dee Muster weist ewech vun den Zoustännegkeeten an op de Wee: eppes tëschent den zwou Säiten refuséiert de Protokoll ze droen, deen den Tunnel brauch. Bestëmmt, wou d'Pakete stoppen, ier Dir eng vun den zwou Konfiguratiounen ufëllt, well e gefilterte Protokoll an e falsche Passwuert an de meeschte Cliente dee selwechte frëndlechen Feeler ginn. D'Tester sinn no Käschten ugeuerdent, dee bëllegsten als éischt.

Beweist, wou den Trafic stoppt

Hëlt gläichzäiteg op der Ausgangsinterface vum Client an um Server op. Vergläicht, wat fortgaang ass, mat deem, wat ukomm ass, a notéiert, a wéi eng Richtung den Ënnerscheed erschéngt.

Näischt um Server heescht, datt de Wee oder den éischten NAT den Trafic verwërft, während Ukënnen ouni Äntwerten op eng Firewall um Server oder en net existente Retourwee weisen. E Router, deen dacks Tunnelen ofschléisst, hält selten e nëtzleche Log, dofir gëtt d'Opnam de Rekord. Schreift de Bestëmmungsport an d'Protokollnummer op, well béid Feeler an engem Client-Dialog d'selwecht ausgesinn.

PPTP stierft ouni Protokoll 47

PPTP dréit d'Kontroll op TCP 1723 an seng Daten am GRE, wat IP-Protokoll 47 ass an net eng Portnummer. Nëmmen 1723 weiderzeleede gëtt déi klassesch Resultat: d'Verbindung authentifizéiert sech an da gëtt se roueg, well et keng Regel fir de Protokoll gëtt, deen d'Notzlaascht dréit. De Client kann dat net vun engem refuséierte Passwuert ënnerscheeden, dofir muss d'Opnam virun de Konfiguratiounsännerungen kommen.

Passthrough leeft an déi entgéintgesat Richtung vun enger agehender Weiderleedung, a Firmware benotzt dacks genuch ee Label fir béides, fir jiddereen ze verwierren. Op engem Linux-Client kann déi lokal Firewall GRE laang ier de Router involvéiert ass, verwerfen, dofir brauch de Protokoll 47 seng eege Regel an den conntrack-Helfer muss geluede sinn. Ubuntus ufw hält déi Regelen an der before-Datei, well gewéinlech allow-Regelen keng Protokollnummer ausdrécke kënnen. Luet d'Firewall duerno nei, amplaz de Rechner nei ze starten.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP an IPsec hannert zwee NATs

L2TP an IPsec brauch UDP 500 fir de Schlësselaustausch, UDP 4500 soubal NAT erkannt gëtt, an ESP als Protokoll 50. Jiddwereen dovunner gëtt onofhängeg gefiltert, dofir bewäist eng Regel, déi een erlaabt, näischt iwwer déi aner zwee. Zwee Routeren hannereneen iwwersetzen all Paket zweemol, an d'Endpunkte sinn net méi eens, wat ausgehandelt gouf.

Bréckt de baussenzege Modem, oder schalt NAT um bannenzege Router aus, sou datt d'ëffentlech Adress d'Gerät erreecht, dat den Tunnel ofschléisst. Wou keent vun deenen zwee méiglech ass, muss den Tunnel vun bannen der Duebel-NAT-Grenz aus gestart ginn, net do ofgeschloss.

Netzwierker vun den Operatoren an Adressundeelung

Eng WAN-Adress bannent 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 oder 100.64.0.0/10 heescht, datt de Router keng ëffentlech Adress huet an eng agehend Weiderleedung aus dem Internet en net erreeche kann. Carrier-Grade NAT filtert zousätzlech Protokoller, déi et net erwaart, a GRE ass op mobilen Uwendungen dacks en Affer. Vergläicht d'WAN-Adress um Router selwer, net d'Adress, déi eng Sichsäit fir e Client hannert him ugëtt.

Dee selwechte Router op enger Kabelleitung lafe loossen trennt en Operateur-Befund an engem eenzegen Test vun engem Konfiguratiounsfeeler. Wou den Operateur de Protokoll refuséiert, sinn déi reschtlech Optiounen een aneren Transport op 443 oder en Tunnel, dee vun bannen aus gestart gëtt.

Liest d'Lëscht vun de Lauschterer, ier Dir Porte zoumaacht

En alarméierende Portscan ass dacks just de Funktiounsset, deen aktiv ausgeliwwert gëtt. Inventariséiert d'Lauschterer, passt all Socket enger Funktioun zou, a schalt dann d'Funktioun aus amplaz de Port ze blockéieren, sou datt déi zwou Usiichte sech net ënnerscheeden.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

SoftEthers Standardwerter sinn e gutt Beispill: TCP 443, 992 a 5555, woubäi d'Funktiounen L2TP/IPsec an DNS-Tunnel hir eege Sockets dobäisetzen. Déi Funktiounen ausschalten hëlt d'Lauschterer ewech amplaz se ze verstoppen, an de Test vun engem externen Host seet Iech, ob den Operateur de Port iwwerhaapt duerchléisst. E Lauschterer, deen lokal äntwert, kann nach ëmmer uewen zou sinn, dofir vergläicht d'eegen WAN-Adress vum Router mat deem, wat en externen Dienst melleet.