VPN тунелот никогаш не се поврзува: каде пакетите навистина запираат

Клиентот постојано обидува повторно, дневникот запира пред да заврши ракувањето, а серверот не запишува ништо. Оваа шема го одвраќа вниманието од акредитивите кон патеката: нешто помеѓу двата краја одбива да го пренесе протоколот што му е потребен на тунелот. Одредете каде запираат пакетите пред да допрете која било од двете конфигурации, бидејќи филтриран протокол и погрешна лозинка даваат иста љубезна грешка кај повеќето клиенти. Тестовите се подредени по цена, најевтиниот прв.

Докажете каде запира сообраќајот

Снимајте истовремено на излезниот интерфејс на клиентот и на серверот. Споредете што излегло со што пристигнало и забележете во која насока се појавува разликата.

Ништо на серверот значи дека патеката или првиот NAT го отфрла сообраќајот, додека пристигнувањата без одговори укажуваат на заштитен ѕид на серверот или на повратна рута што не постои. Рутерот што често завршува тунели обично не води корисен дневник, па снимката станува запис. Запишете го одредишниот порт и бројот на протоколот, бидејќи двата неуспеси изгледаат исто во дијалогот на клиентот.

PPTP умира без протокол 47

PPTP го носи управувањето на TCP 1723, а податоците во GRE, што е IP протокол 47, а не број на порт. Пренасочување само на 1723 дава класичен резултат: врската се автентификува и потоа замолчува, бидејќи не постои правило за протоколот што го носи товарот. Клиентот не може да го разликува тоа од одбиена лозинка, па снимката мора да дојде пред измените на конфигурацијата.

Пропуштањето работи во спротивна насока од дојдовното пренасочување, а фирмверот доволно често користи една ознака за двете, што ги збунува сите. На Linux клиент локалниот заштитен ѕид може да го отфрли GRE многу пред рутерот воопшто да учествува, па протоколот 47 бара сопствено правило и conntrack помошникот мора да биде вчитан. ufw на Ubuntu ги чува тие правила во датотеката before, бидејќи обичните allow правила не можат да изразат број на протокол. Потоа вчитајте го заштитниот ѕид повторно наместо да ја рестартирате машината.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP и IPsec зад два NAT

L2TP внатре во IPsec бара UDP 500 за размена на клучеви, UDP 4500 кога ќе се открие NAT и ESP како протокол 50. Секој од нив се филтрира независно, па правило што дозволува еден не докажува ништо за другите два. Два рутери во низа го преведуваат секој пакет двапати и крајните точки веќе не се согласуваат за тоа што е договорено.

Премостете го надворешниот модем или исклучете го NAT на внатрешниот рутер, за да стигне јавната адреса до уредот што го завршува тунелот. Каде ниту едното не е можно, тунелот мора да се започне од внатрешноста на границата на двојниот NAT, а не таму да се заврши.

Мрежи на операторите и споделување адреси

WAN адреса во 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 или 100.64.0.0/10 значи дека рутерот нема јавна адреса и ниту едно дојдовно пренасочување од интернет не може да го достигне. NAT на ниво на оператор дополнително филтрира протоколи што не ги очекува, а GRE е честа жртва на мобилните врски. Споредете ја WAN адресата на самиот рутер, а не адресата што ја наведува страница за пребарување за клиент зад него.

Извршувањето на истиот рутер на жичена линија го одвојува наодот за операторот од грешката во конфигурацијата со еден тест. Каде операторот го одбива протоколот, остануваат опциите друг транспорт на 443 или тунел започнат од внатре.

Прочитајте го списокот со слушатели пред да затворите порти

Алармантно скенирање порти често е само множеството функции што се доставуваат вклучени. Направете попис на слушателите, поврзете го секој сокет со функција, а потоа исклучете ја функцијата наместо да ја блокирате портата, за да не се разделат двата погледи.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

Стандардните вредности на SoftEther се добар пример: TCP 443, 992 и 5555, при што функциите L2TP/IPsec и DNS тунел додаваат свои сокети. Исклучувањето на тие функции ги отстранува слушателите наместо да ги крие, а проверката од надворешен домаќин кажува дали операторот воопшто ја пропушта портата. Слушател што одговара локално сепак може да биде затворен погоре, па споредете ја сопствената WAN адреса на рутерот со она што го пријавува надворешна услуга.