L2TP mingħajr IPsec fuq Linux: xl2tpd, pppd u NAT

L-L2TP għarwien huwa PPP f'envelopp, u xejn aktar. Iġorr il-frames tiegħek; ma jikkriptahomx u ma jipprovax min qiegħed fit-tarf l-ieħor, u għalhekk kważi kull implimentazzjoni tdaħħal IPsec taħtu. Raġunijiet onesti biex tħaddem il-verżjoni għarwiena għadhom jeżistu: bank tal-laboratorju, pass ta' migrazzjoni, jew konnessjoni li diġà tinsab fi ħdan triq protetta oħra.

Jekk tkompli, ikteb dak it-twissija fin-nota tad-disinn u ħalliha hemm. Li ġej huwa t-triq operattiva li nuża fuq hosts tal-familja Debian u RHEL: liema fajl huwa responsabbli għal xiex, l-MTU li tipprevjeni l-imblokk klassiku, u r-regoli tal-ibbordjar li jagħmlu l-mina ta' min jinvesti fiha.

Tliet fajls jaqsmu l-ħidma

xl2tpd itemm il-konnessjoni tal-kontroll u jgħaddi kull sessjoni lil daemon PPP, għalhekk il-konfigurazzjoni hija mifruxa bejn żewġ programmi li qatt ma jaqraw il-fajls ta' xulxin. Is-semmiegħa tgħix f'/etc/xl2tpd/xl2tpd.conf, ġewwa sezzjoni [lns default] li tagħti isem lill-ġabra tal-indirizzi bl-ip range, lit-tarf tas-server bil-local ip, u l-kunsinna lil PPP bil-pppoptfile. Ixgħel require authentication = yes, ħalli length bit u flow bit mixgħula, u agħżel ġabra li xejn ieħor fuq il-host ma juża diġà.

Il-politika tal-PPP tappartjeni għall-fajl li semmi dik l-għażla, normalment /etc/ppp/options.xl2tpd: auth, rifjuti għal pap, chap u mschap, require-mschap-v2, MTU u MRU ta' 1460, u indirizz DNS li l-klijent jista' jilħaq wara li titla' l-konnessjoni. Il-kredenzjali huma reġa' t-tielet fajl, /etc/ppp/chap-secrets, fejn it-tieni qasam irid jaqbel mal-isem tas-sezzjoni LNS u r-raba' qasam jista' jwaħħal indirizz speċifiku mill-ġabra.

Għaliex il-mina tgħaqqad u mbagħad tistalla

Qafas Ethernet ta' 1500 byte ma jidħolx f'triq li diġà qed tonfoq bytes fuq l-intestaturi tagħha stess. L-intestatura IPv4 ta' barra tiswa 20, UDP tiswa 8, u l-intestatura L2TP madwar 12, li tħalli 1460 għall-PPP u l-merfugħ tiegħu. Huwa proprju t-tħabbir ta' dak in-numru iżgħar fil-PPP li jżomm il-pakketti kbar milli jinqasmu jew jintilfu bil-kwiet xi mkien fin-nofs.

Is-sintomu huwa mina li tidher b'saħħitha sakemm tasal traffiku veru: il-pings u l-messaġġi tal-kontroll jgħaddu, kopja ta' fajl tistalla, xejn fil-log ma jispjegah. Naqqas l-MTU u l-MRU flimkien fiż-żewġ truf. L-aġġustament tal-klijent biss ġeneralment iddawwar imblokk iebes f'wieħed intermittenti, li huwa agħar biex jiġi djanjostikat.

Port wieħed iġorr żewġ konversazzjonijiet

UDP 1701 jinsab taħt iż-żewġ nofsijiet tal-protokoll, u dan il-fatt wieħed ikisser aktar regoli tal-firewall minn kull parti oħra tas-setup. L-ewwel jiġu talba biex tibda l-konnessjoni tal-kontroll u t-tweġiba tagħha; it-talba tas-sessjoni u l-konferma li jiġu wara ma jistabbilixxu xejn aktar mill-par tal-identifikaturi. Imbagħad il-PPP jieħu f'idejh: kontroll tal-konnessjoni, imbagħad awtentikazzjoni, imbagħad protokoll tal-kontroll tal-IP biex jiftiehem l-indirizzi. Kull stadju għandu l-vokabolarju tiegħu fil-log, u ebda wieħed minnhom ma jħabbar lilu nnifsu bħala falliment tal-L2TP.

Li taqra qabda eżattament f'dik l-ordni jgħidlek liema stadju falla, u falliment tal-awtentikazzjoni PPP mhux se jiġi msewwi billi teditja xl2tpd. Il-port kondiviż jispjega falliment komuni ieħor: regola li tippermetti biss l-ewwel pakketti ta' fluss tħalli s-sessjoni tistabbilixxi ruħha u mbagħad timblokka t-trasferiment. Ippermetti 1701 għall-konversazzjoni kollha, fiż-żewġ direzzjonijiet.

Nagħmlu l-mina utli: ibbordjar u NAT

Sessjoni waħedha tilħaq biss is-server. L-aċċess tal-klijenti għall-internet jeħtieġ ibbordjar, regola NAT għall-ġabra fuq il-link 'il fuq, u DNS li l-klijent tabilħaqq jista' jistaqsi wara li titla' l-konnessjoni. Il-ġabra trid tibqa' wkoll barra mill-firxa tal-LAN, inkella tweġibiet indirizzati lill-klijenti jiġu kkunsinjati lokalment minflok ma jintefgħu lura fil-mina.

Fuq is-server, ixgħel l-ibbordjar bl-sysctl -w net.ipv4.ip_forward=1, ittraduċi l-ġabra bl-iptables -t nat -A POSTROUTING -s 10.44.0.0/24 -o eth0 -j MASQUERADE, imbagħad aċċetta t-traffiku tal-mina li joħroġ b'regola FORWARD għal -i ppp0 -o eth0 u t-traffiku li jirritorna b'regola mera flimkien ma' -m state --state RELATED,ESTABLISHED. Żomm dawn ir-regoli persistenti bejn il-boots mill-ġdid, għax server li jerġa' lura mingħajrhom jidher eżattament bħal konfigurazzjoni L2TP imkissra.

Li tilħaq il-LAN tas-server innifsu hija ħidma oħra: żid rotta tar-ritorn għall-ġabra fuq ir-router tal-LAN, jew proxy ARP fuq is-server. Li taħbi lill-klijenti wara NAT meta xi ħaġa fil-LAN trid tindirizzahom direttament qed tiskeda biss it-tieni sessjoni ta' debug għal aktar tard.

X'ma jagħmilx il-munzell għarwien, u kif tivverifika

L-ebda parti minn dan il-munzell ma tikkripta l-frames tal-PPP, u xejn fih ma jawtentika t-tarf imbiegħed bħala s-server li inti verament għażilt. MS-CHAPv2 iħares l-iskambju tal-kredenzjali minn semmiegħ li qed josserva biss, iżda attakkant li jinsab fit-triq xorta jista' jindaħal fis-sessjoni. Il-klijent nattiv ta' Windows joffri L2TP biss flimkien ma' IPsec, għalhekk ikkalkula Linux, firmware tar-routers u klijenti ta' partijiet terzi bħala s-sħab tiegħek. Ittratta l-konfigurazzjoni għarwiena bħala tarġa dijanjostika, qatt bħala l-post fejn tieqaf.

Ivverifika fi ordni fissa: ħaddem xl2tpd -D fil-quddiem, osserva l-ġurnal għall-istadju PPP, aqra l-indirizz mogħti mill-ip addr fiż-żewġ truf, imbagħad aqbad UDP 1701 biex tikkonferma li d-dejta tgħaddi wara li titla' s-sessjoni. Jekk l-erbgħa jaqblu kollha u t-traffiku xorta jfalli, il-ħtija hija fl-irrotar, fin-NAT jew fl-MTU, mhux fl-L2TP innifsu.