PPTP jgħaqqad u mbagħad jiddendel wara Linux NAT: l-assistent GRE

Xi ħadd jibgħat 'il quddiem il-1723, il-klijent jasal għas-server, tinbeda l-awtentikazzjoni, u mbagħad kollox jieqaf mingħajr żball. Il-konklużjoni naturali hija password ħażina, għalhekk il-password terġa' tinkiteb darbtejn oħra. L-ibbġħat 'il quddiem kien sewwa u l-kredenzjali kienu sewwa. Dak li nkiser huwa t-tieni protokoll li l-ibbġħat 'il quddiem qatt ma kopra, u valur awtomatiku tal-qalba li sieket waqaf jgħin bih.

L-ibbġħat 'il quddiem qatt ma kien il-problema

Regola tal-ibbġħat 'il quddiem tal-port tiddeskrivi traffiku TCP jew UDP. Ma tistax tiddeskrivi tagħbija li taqleb għal protokoll IP ieħor fin-nofs ta' sessjoni, u PPTP jagħmel eżattament dan.

Huwa għalhekk li l-konnessjoni tidher f'saħħitha sa mument meta tiddendel. Il-parti li regola tal-port tista' tiggverna rnexxiet, u l-parti li ma tistax tiggverna hija l-parti li falliet.

TCP għall-kontroll, GRE għad-data

Is-sejħa tiġi nnegozjata fuq TCP 1723. Ladarba titla', it-tagħbija tmur fil-GRE, protokoll IP 47, li ma jġorr l-ebda numri tal-port xejn. Regola li tiddependi fuq il-ports m'għandha xejn x'tqabbel.

Dak li jġorr il-GRE huwa identifikatur tas-sejħa fl-intestatura tiegħu, u t-traduttur NAT irid jerġa' jikteb dak il-qasam b'mod konsistenti fiż-żewġ direzzjonijiet, inkella ż-żewġ nofsijiet tas-sessjoni jieqfu jaqblu ma' xulxin. Direzzjoni waħda miktuba mill-ġdid u l-oħra le tipproduċi sessjoni li tawtentika u mbagħad tarmi kull pakkett tad-data. Dan huwa eżattament l-għamla tas-sintomu: suċċess, imbagħad silenzju.

GRE nieqes mill-PPTP m'għandux bżonn kitba mill-ġdid bħal din, u għalhekk tunnel GRE sempliċi jista' jaħdem minn router li jonqos għal klijent PPTP fl-istess mogħdija.

Erba' moduli u sysctl li tefagħhom

Żewġ moduli jittrattaw l-inkwadrar, nf_conntrack_proto_gre u nf_nat_proto_gre. Żewġ oħra jittrattaw l-identifikatur tas-sejħa, nf_conntrack_pptp u nf_nat_pptp. Li tgħabbi l-aħħar waħda tiġbed l-oħrajn permezz tad-dipendenzi, għalhekk lista tal-moduli għandha turi l-erbgħa kollha.

Struzzjonijiet eqdem jużaw prefiss ip_ mill-era 2.6. Dawk il-kmandi jistgħu jidhru li qed jaħdmu waqt li ma jgħabbux xejn, għalhekk iċċekkja l-lista mgħobbija aktar milli l-istat tal-ħruġ.

Li jkunu mgħobbija m'għadux biżżejjed. Mill-Linux 4.7 is-sysctl net.netfilter.nf_conntrack_helper huwa 0 b'mod awtomatiku, li jiddiżattiva l-assenjazzjoni awtomatika tal-assistent għal flussi ġodda. Router jista' jkollu kull modulu u xorta ma jittraduċi xejn. Iċċekkja l-valur effettiv qabel ma terġa' tħares lejn il-lista tal-moduli.

Jew erġa' ixgħel l-assenjazzjoni awtomatika globalment, jew waħħal l-assistent mal-flussi li jeħtieġuha u ħalli kollox ieħor kif inhu:

iptables -t raw -A PREROUTING -p tcp --dport 1723 -j CT --helper pptp

It-tieni għażla hija preferibbli. Tillimita l-imġiba għat-traffiku PPTP minflok ma terġa' tippermetti l-assenjazzjoni awtomatika madwar ir-router kollu.

Tiftaħ protokoll li m'għandux ports

Regola tal-firewall li tippermetti l-1723 ma tgħid xejn dwar il-protokoll 47. Fuq firewalld, ippermetti l-protokoll fiż-żona li tħares lejn il-klijent. Fuq iptables sempliċi, aċċetta l-protokoll gre fil-katina tal-input.

Imbagħad aqbad fuq iż-żewġ naħat. Pakketti li jħallu l-klijent mingħajr tweġibiet li jaslu jfissru li t-triq tar-ritorn hija ffiltrata, u dak huwa ħsara differenti minn kredenzjali miċħuda.

Wara li jgħaqqad, il-limitu tad-daqs

GRE jdaħħal intestatura, u PPP ġo fiha jżid aktar, għalhekk rabta li taħdem tirrapporta MTU ferm taħt l-1500. Tweġibiet żgħar jitgħabbew u dawk kbar jiddendlu, li jidher bħal tieni problema mhux relatata li tidher eżatt fil-mument li l-ewwel waħda tissolva.

Aqra l-MTU fuq l-adapter PPP tal-klijent u qabbilha mal-kalkolu tar-router stess minflok ma tniżżel in-numri sakemm xi ħaġa taħdem. Pakketti tad-daqs sħiħ li joħorġu mingħajr ma jiġi lura xejn jindikaw dak il-limitu u mhux it-traduzzjoni.

L-issewwija tat-triq iġġib lill-utent jaħdem, u ma tagħmilx il-PPTP għażla tajba. MS-CHAPv2 u RC4 ilhom żmien skaduti, għalhekk ittratta t-tagħbija tal-moduli bħala tiswija temporanja u ppjana ċaqliq għal protokoll miżmum.