pptpd дээрх GRE бичих алдаа нь нууц үгийн асуудал биш

Лог дээр GRE бичих алдаа, тэгээд эхний зөн совин хэрэглэгчийн нууц үгийг шинэчлэх. Энэ зөн совин бараг үргэлж буруу. Эдгээр мессеж нь итгэмжлэлийн шалгалтыг биш, өгөгдлийн замыг дүрсэлдэг: клиент амжилттай баталгаажиж, дараа нь сүлжээнд бүртгүүлэх шатанд гацсан байж болно. Хоёр өөр мессеж хоёр өөр алдаа руу заадаг бөгөөд аль нь ч шинэ нууц үгээр шийдэгдэхгүй.

Хоёр мессеж, хоёр өөр алдаа

Унших алдаа гэдэг нь GRE пакетууд демон руу хэзээ ч хүрэхгүй, эсвэл дотогш орох замд хаягдана гэсэн үг. Хяналтын холболт бүрэн эрүүл харагдаж болох ч өгөгдлийн замаар юу ч гарахгүй. Баталгаажуулалт бол нотлогдсон байдлаар ажилласан цорын ганц зүйл.

Бичих алдаа нь ихэвчлэн сесс цөм эсвэл клиент ашиглаж чадахгүй зүйлийг тохиролцсон гэсэн үг. Хяналтын суваг дууссан бөгөөд тэр солилцооны үеэр тохирсон параметрүүд төгсгөлийн цэгүүд бодитоор хийж чадах зүйлтэй тохирохгүй байна. Энэ нь тохиргооны зөрүү, баталгаажуулалтын үйл явдал биш.

Ямар нэгэн зүйлийг өөрчлөхөөс өмнө хоёрын аль нь гарч байгааг унш. Тэд таныг өөр өөр давхаргад хүргэдэг бөгөөд тэдгээрийг нэг шинж тэмдэг гэж үзэх нь нэг сервер холбоогүй шалтгаанаар хоёр удаа нөхөгдөх шалтгаан юм. Лог мөр нь таны авах цорын ганц үнэгүй оношилгоо.

47 протокол нь 47 порт биш

PPTP нь дуудлагыг тогтоохдоо TCP 1723, ачааг зөөхдөө GRE ашигладаг. GRE нь портын дугаар биш IP протокол 47 тул 47 портыг нээх галт хананы дүрэм ямар ч ашигтай зүйлийг зөвшөөрөхгүй.

Зам дээрх чиглүүлэгчид PPTP passthrough функций эсвэл GRE-д тодорхой зөвшөөрөл хэрэгтэй. Үүнгүйгээр TCP гар барилт дуусч, туннель хэзээ ч пакет зөөхгүй, энэ нь дээрх унших алдааг яг үүсгэдэг. Галт хананы 47 портын дүрмүүд энэ протоколд хамгийн их дэмий өнгөрүүлсэн үдээс хойш юм.

Аль тал трафикийг хаяж байгааг таамаглахын оронд сервер дээр хоёр чиглэлийг зэрэг ажигла: tcpdump -ni any port 1723 or proto gre.

Хэрэв 1723 дуудлага тогтоохыг харуулж, GRE чимээгүй байвал блоклох нь хостээс дээгүүр байна. Хэрэв GRE ирж, демон буруу хэвээр байвал асуудал локал бөгөөд параметрүүд нь дараагийн харах газар.

GRE-д хост бодитоор дамжуулдаг газарт зөвшөөрөл өг

GRE-д forward дүрэм оруулах нь туннелийн трафик дамжуулдаг хост дээр үндэслэлтэй туршилт бөгөөд энэ нь бодлого биш. Нэг протоколын бүх зүйлийг хүлээн авдаг туршилтын дүрэм нь оношилгоо, дизайн биш. Ямар нэг зүйл сурахад хангалттай хугацаагаар үлдээгээд, дараа нь хязгаарлагдмал дүрмээр соль.

Сервер өөрт нь хаягласан пакетуудад input дүрэм нэм, учир нь forward хэлхээ тэдгээрийг хардаггүй. Дараа нь холболтын оролдлогын өмнө болон дараа дүрмийн тоолуурыг хар, энэ нь пакетууд огт ирж байгаа эсэхийг хэлнэ.

Дахин ачаалах бүрийн дараа дахин ажиллуулахын оронд түгээлтийн галт ханын үйлчилгээгээр дүрмийг байнгын болго. nftables хост дээр input болон forward хэлхээ хоёуланд нь ip protocol gre-г тааруул.

ppp_generic модуль мөн ачаалагдсан эсэхийг баталгаажуулж, холболтын мөрдөлт буцах чиглэлийг хаяж байгаа эсэхийг шалга. Хоёулаа галт ханын асуудал мэт харагдах боловч тийм биш алдаа үүсгэдэг. Дутуу цөмийн модуль шалгах хүртэл яг блоклогдсон протокол мэт харагдана.

Параметрүүдийг бодитоор байгаа клиентэд тохируул

Нөгөө тайлангийн засвар /etc/ppp/pptpd-options дотор байгаа бөгөөд тэнд жор нь PAP, CHAP, MSCHAP-ыг татгалзаж, харгалзах require мөрүүдийг тайлбар болгон, төлөвтэй MPPE-г хадгалдаг. Тэр жор нь нэг клиентийн хольцод зориулж бичигдсэн бөгөөд сохроор хуулах нь ердийн тохиолдлыг эвддэг. Татгалзах мөрүүдийг зөвлөмж биш, зохиогчид ямар клиентүүд байсны тухай мэдэгдэл гэж унш.

Windows клиентэд ихэвчлэн MS-CHAPv2-той MPPE-128 хэрэгтэй. Тэр шаардлагыг хадгалж, клиент бодитоор тохиролцож чадахгүй параметрүүдийг л хас.

# keep encryption; drop only what this client cannot negotiate
refuse-pap
refuse-chap
refuse-mschap
mppe-stateful
require-mschap-v2
require-mppe-128

Холболт амжилттай болохын тулд шифрлэлтийг унтраах нь бууралт, засвар биш. Ийм хувилбарыг лабораторийн шугам дээр туршиж, дараа нь үйлчилгээ бодит клиентүүдтэй уулзахаас өмнө шифрлэлтийг сэргээ. Аюулгүй бус ажилладаг холболт шударгаар бүтэлгүйтдэг холболтоос муу.

Клиентийн алдааны дугаарыг унш

Клиентийн тоон код нь серверийн логоос илүү хурдан шатыг нарийсгана. Бусад зүйлийг уншихаас өмнө үүнийг унш. 691 нь итгэмжлэлүүд татгалзагдсаныг, 721 нь сервер хэзээ ч хариу өгөөгүйг, 619 нь холболт тасарсныг илэрхийлнэ. Дугаартай хамт хоёр минут тохиргоотой нэг цагийг хэмнэнэ.

Ямар нэгэн зүйлийг засахын өмнө тэр кодыг серверийн логтой харьцуулж, өөрчлөлт бүрийн дараа ижил клиентээр дахин турш. Эс бөгөөс хоёр дахь алдаа эхнийхний ард нуугдаж, засвар үр дүнгүй харагдана.

Нэвтрэлт амжилттай болж, трафик хөдлөхгүй бол GRE сэжигтэй хэвээр байна. Энэ нь итгэмжлэлийн агуулах биш, бичлэг рүү буцах мөч юм.