Server PPTP wara router tad-dar: sewwi l-ewwel 1723 u GRE

PPTP wara router tad-dar ifalli b'żewġ modi mhux marbuta, u li tħallathom jispiċċa ħela ta' lejla sħiħa. Nuqqas wieħed huwa vojt fl-indirizzar: ir-router iħalli TCP 1723 jgħaddi u jwarrab il-protokoll IP 47, għalhekk il-klijent jibqa' mdendel fuq l-iżball 619. L-ieħor huwa problema ta' daqs: it-tunnel jogħla, jawtentika, imbagħad jiffriża meta pakkett ta' daqs sħiħ irid jgħaddi. Li tiskopri liema minnhom għandek huwa l-ewwel pass veru; il-bqija tqabbel x'jista' jesprimi r-router tiegħek, mhux liema marka hija aħjar.

Żewġ trasporti, u wieħed biss għandu port

PPTP jinqasam f'żewġ trasporti: konnessjoni ta' kontroll fuq TCP 1723, u frejmijiet PPP imgeżwra f'GRE estiż, jiġifieri l-protokoll IP 47. GRE m'għandux numru tal-port, għalhekk regola miktuba bħala indirizzar tal-port 1723 ma tistax tkoprih, tkun xi tkun l-isem li tagħti l-interface tal-web lil dak il-qasam. Router tad-dar normalment joffri kaxxa tal-ikklerkar bl-isem passthrough PPTP minflok regola tal-protokoll, u dik il-kaxxa tagħmel żewġ xogħlijiet: tħalli l-protokoll 47 jgħaddi mill-firewall, u tgħallem lin-NAT kif isegwi l-fluss GRE. Fuq router Linux dawk ix-xogħlijiet huma moduli separati u regoli separati, u għalhekk passthrough nofsu konfigurat xorta jipproduċi kanal ta' kontroll li jaħdem. Skopri liema nofs hemm qabel ma tbiddel xi ħaġa.

Il-firewall tas-server innifsu wkoll irid jippermetti l-protokoll 47 mill-indirizz tar-router. Firewall tal-host li jaċċetta biss 1723/tcp jirriproduċi l-iżball 619 minn ġewwa l-LAN, u b'hekk indirizzar miksur u regola tal-host miksura jidhru l-istess.

sudo iptables -S FORWARD | grep -i gre
sudo nft list ruleset | grep -i gre
lsmod | grep -E 'nf_conntrack_proto_gre|nf_nat_proto_gre'

Jekk il-moduli huma nieqsa, għabbihom b'sudo modprobe nf_conntrack_proto_gre nf_nat_proto_gre u agħmel it-tagħbija permanenti, għax tiswija li tinsa l-assistent iddawwar tunnel li jaħdem lura fl-iżball 619. Ir-regola tal-indirizzar għandha taċċetta l-protokoll 47 biss lejn l-indirizz tas-server, mhux il-LAN kollu. Id-definizzjoni ta' RFC 2637 tifred it-triq tal-kontroll mit-triq tad-data, u għalhekk l-ebda skrin wieħed tal-indirizzar tal-port ma jiddeskrivi PPTP b'mod sħiħ.

Kaxxa tal-passthrough jew regola tal-protokoll espliċita

Kaxxa tal-passthrough li tiftaħ biss il-firewall hija eqreb lejn is-sewwa minn ALG li terġa' tikteb l-identifikaturi tas-sejħa. In-nofs tal-firewall huwa prevedibbli, għax il-protokoll 47 jew jiġi aċċettat jew jitwarrab, u l-kontaturi jgħidu liema. In-nofs tal-kitba mill-ġdid huwa fejn il-manifatturi jvarjaw, għax l-identifikaturi tas-sejħa tal-PPTP huma għal kull tunnel u NAT li jikkoreġihom irid isegwi kull sejħa li jmiss. Meta klijent wieħed jgħaqqad u tnejn le, l-ALG huwa l-ewwel suspettat.

Regola NAT tad-destinazzjoni għall-1723 għandha wkoll problema ta' sjieda. Jekk regola antika għadha tibgħat l-1723 lil host li waqaf imexxi s-server, il-pakketti jinżlu fuq port magħluq u s-servizz PPTP tar-router innifsu jieqaf iwieġeb, li jinqara bħala falliment tal-firewall iżda fil-verità mira skaduta. Aqra r-regola u d-destinazzjoni tagħha qabel iżżid it-tieni. Fuq routers li jtemmu l-PPTP huma stess, ir-regola tal-WAN tikkompeti mas-servizz integrat, għalhekk agħżel sid wieħed għall-1723 u l-protokoll 47.

Żewġ klijenti wara l-istess NAT huma l-każ li jifred indirizzar sempliċi minn wieħed intelliġenti. L-indirizzar tal-protokoll 47 mingħajr ma jerġa' jinkiteb l-identifikaturi tas-sejħa normalment iġib ruħu aħjar minn assistent li jipprova jsewwiom.

Kejjel it-tunnel qabel ma tagħti tort lir-router

PPTP iċekken il-piż utli, u dan it-tnaqqis huwa aritmetika, mhux misteru. Kull pakkett tat-tunnel iġorr intestatura IP ta' barra, intestatura GRE estiża, intestatura PPP u, bl-encryption, intestatura MPPE. Meta t-triq ma tistax iġġorr il-frejm li joħroġ, pakketti żgħar jgħaddu, id-dħul jitlesta, u s-sessjoni tieqaf l-ewwel darba li trasferiment ta' fajl jew handshake TLS jibgħat pakkett ta' daqs sħiħ.

Ikkalkula n-numru minflok taqta' bl-addoċċ. GRE estiż jiswa 8 bytes, PPP jiswa 4, MPPE jiswa 4, u l-intestatura IP ta' barra tiswa 20, għalhekk it-tunnel jiekol 36 bytes qabel kull piż. Fuq WAN PPPoE li jintemm f'1492, l-akbar PPP MTU li jidħol huwa 1492 nieqes 36, jiġifieri 1456. Issettja mtu u mru għal dak il-valur fl-għażliet PPP u erġa' pprova b'ping mingħajr frammentazzjoni.

ping -M do -s 1464 198.51.100.7
grep -E '^(mtu|mru)' /etc/ppp/options.pptpd

Il-ping ikejjel it-triq, mhux it-tunnel: 1464 bytes ta' piż flimkien ma' 28 bytes ta' intestaturi IP u ICMP jimlew eżattament frejm ta' 1492 bytes. Jekk dak il-ping ifalli, naqqas in-numru sakemm jgħaddi u naqqas 36 mir-riżultat. MTU tat-tunnel imqiegħed 'il fuq mil-limitu tat-triq jipproduċi l-iffriżar mingħajr linja waħda ta' log li ssemmi d-daqs.

PPTP, L2TP/IPsec jew OpenVPN fuq l-istess router

L-istess router jista' jġorr kwalunkwe mit-tliet tunnels tas-soltu, u d-differenza hija x'għandu jesprimi. PPTP jeħtieġ żewġ regoli f'żewġ saffi differenti. L2TP fuq IPsec jeħtieġ UDP 500 u 4500 għall-iskambju tal-keys u, sakemm NAT-T ma jġorrhx, protokoll 50 għall-piż. OpenVPN jeħtieġ port UDP wieħed u l-ebda assistent.

Il-kolonna L2TP mhijiex awtomatikament aktar ħabiba minn GRE. ESP huwa l-protokoll IP 50 u lanqas m'għandu port, għalhekk router li jsib diffikultà bil-protokoll 47 jista' jsib diffikultà bil-protokoll 50 għall-istess raġuni. NAT-T jeżisti biex igeżwer ESP ġewwa UDP 4500, u meta ż-żewġ trufijiet jappoġġjawh ir-regola tal-protokoll 50 issir bla bżonn. Din hija proprjetà tat-trufijiet, mhux tal-kaxxa PPTP tar-router. Ikkonferma liema enkapsulazzjoni nnegozja tassew il-klijent qabel ma tikteb regoli għaż-żewġ.

OpenVPN hija l-għażla bl-inqas partijiet li jiċċaqilqu fuq in-naħa tar-router. Port UDP wieħed, indirizzar wieħed, l-ebda assistent ta' traċċar tal-konnessjonijiet u l-ebda kitba mill-ġdid tal-identifikaturi tas-sejħa. L-iskambju huwa klijent li jrid jiġi installat minflok dailer integrat, u dan spiss huwa l-uniku raġuni li PPTP jibqa' fid-diskussjoni.

X'għandu jiġi msewwi u x'għandu jiġi sostitwit

Li ssewwi l-indirizzar u l-MTU jagħtik tunnel li jaħdem, mhux wieħed li għandek iżżomm. L-awtentikazzjoni MSCHAPv2 tal-PPTP ilha attakkabbli għal snin, u tunnel li jaħdem iċaqlaq kredenzjali li jistgħu jiġu rkuprati offline. Jekk it-tagħmir remot jista' jħaddem L2TP/IPsec jew OpenVPN, ittratta t-tiswija bħala miżura temporanja b'data.

Id-deċiżjoni tiddependi minn x'jappoġġja t-tarf remot u kemm irid idum ix-xogħol. Apparat antik li jitkellem biss PPTP jieħu t-tiswija; kull ma jista' jiġi installat klijent fuqu jiġi mmigrat.

Qabel ma tagħlaq it-ticket, ikkonferma li l-klijent isofri trasferiment kbir u mhux biss dħul, u li r-router xorta jżomm ir-regola tal-protokoll 47 wara reboot. Tunnel li jgħaddi kopja wieħed ta' fajl u jmut wara l-aġġornament tal-firmware li jmiss qatt ma tkompla.