It-tunneling maqsum tal-PPTP mhux jaħdem: sewwi l-ewwel il-mogħdija GRE

Ara konnessjoni PPTP titla’ u huwa faċli temmen li l-parti diffiċli spiċċat: il-klijent jawtentika ruħu, jidher adapter ppp0 jew WAN Miniport, u t-tieqa tal-istat issir ħadra. Imbagħad l-ewwel talba lil host intern tiskadi, u l-profil jiġi akkużat. Fil-prattika hemm żewġ saffi indipendenti x’jinġibdu: it-trasport ta’ barra li jġorr TCP 1723 u GRE, u l-politika ta’ ġewwa li tiddeċiedi liema destinazzjonijiet jużaw l-interface PPP. Stat aħdar jipprova biss li l-ewwel saff innegozja; dwar it-tieni ma jgħid xejn.

Segwi l-klijent mill-profil sal-sokit tal-kontroll

Iftaħ il-log tal-klijent u sib il-punt fejn jikkuntattja lis-server. PPTP l-ewwel jiftaħ konnessjoni TCP mal-port 1723 u jinnegozja l-parametri tat-tunnel fuq dak il-kanal. Jekk dan il-pass ifalli, xejn wara ma huwa importanti, u l-iżball normalment isemmi l-indirizz tas-server jew timeout.

Ikkonferma l-konnessjoni tal-kontroll fuq il-wajer qabel ma tmiss ebda rotta. Fuq il-klijent jew port mera, aqbad TCP 1723 għal prova waħda ta’ konnessjoni:

sudo tcpdump -ni any 'tcp port 1723' -c 20

Handshake komplut u sessjoni stabbilita jfissru li l-kanal tal-kontroll ta’ barra jaħdem. SYN li qatt ma jirċievi SYN-ACK jindika firewall, indirizz tas-server ħażin, jew fornitur li jiffiltra l-port. Handshake segwit minn reset immedjat spiss ifisser li s-server irrifjuta l-kredenzjali jew it-tip tat-tunnel.

GRE huwa t-tieni protokoll, mhux port

PPTP iġorr il-payload PPP ġewwa GRE estiż, protokoll IP 47, li m’għandu l-ebda numru tal-port li router jista’ jsegwi. Għalhekk regola li tippermetti TCP 1723 xorta tista’ tħalli t-tunnel mingħajr mogħdija tad-data. Apparati NAT b’stat iridu jifhmu l-ID tas-sejħa ġewwa GRE biex jiġbdu l-wegħbiet lura, u ħafna ma jagħmlux hekk. L-ispeċifikazzjoni tal-PPTP iżżomm il-kanal tal-kontroll u l-payload GRE bħala biċċiet separati, u l-pjan tat-test tiegħek irid jagħmel l-istess.

Innota l-protokoll 47 fl-istess qabda, imbagħad qabbel dak li joħroġ ma’ dak li jerġa’ lura:

sudo tcpdump -ni any 'proto gre' -c 20

Paketti li joħorġu mingħajr tweġibiet, waqt li TCP 1723 jibqa’ f’saħħtu, huma l-firma klassika tal-GRE mblukkat. Il-passthrough tal-PPTP fuq router tal-konsumatur hija karatteristika ta’ dak il-firmware partikolari, għalhekk network ta’ lukanda li jaħdem ma jipprova xejn dwar dak li jmiss. Jekk ir-router ma joffrix passthrough u ma tistax tibdlu, il-problema hija l-għażla tal-protokoll, mhux it-tabella tar-rotot.

Ipprova li t-tunnel iċaqlaq pakkett wieħed

Malli GRE jibda joġri, in-negozjar PPP jassenja indirizz lill-interface tal-klijent. Aqra l-assenjazzjoni minflok tassumiha:

ip -4 addr show ppp0

Ping l-indirizz tal-peer muri bħala d-destinazzjoni tal-link punt għal punt. Tweġiba f’dan l-istadju tipprova li l-mogħdija inkapsulata taħdem mill-bidu sat-tmiem u li s-server iwieġeb ġewwa t-tunnel. Jekk il-peer iwieġeb imma l-hosts interni le, it-trasport ta’ barra huwa tajjeb u l-ħsara mxiet lejn ġewwa.

Agħmel dan qabel ma żżid ebda rotta maqsuma. Bidla fir-rotta magħmula waqt li t-trasport ikun miksur toħloq it-tieni varjabbli u taħbi l-ewwel waħda.

Ikteb il-politika maqsuma, inkluż id-DNS

Ir-routing maqsum huwa lista ta’ deċiżjonijiet, mhux kaxxa tal-ikklerkar. Kull prefiss privat li jrid jaqsam it-tunnel jeħtieġ rotta mill-interface PPP, u kull prefiss li jrid jibqa’ lokali jeħtieġ li jkun nieqes minnha. Rotta għal subnetwork tal-applikazzjoni mingħajr rotta li taqbel mar-resolver privat tagħha hija mod komuni kif tinħoloq waqfa li tidher bħal app miksura.

Iċċekkja d-deċiżjoni li l-kernel jieħu għal indirizz wieħed f’kull kategorija:

ip route get 10.20.5.10
ip route get 203.0.113.25

L-ewwel għandha ssemmi ppp0, u t-tieni l-gateway normali. Jekk it-tnejn isemmu l-istess interface, il-politika mhija maqsuma xejn. Żid l-indirizz tas-server DNS innifsu mal-lista tat-tunnel, inkella r-riżoluzzjoni tal-ismijiet għall-hosts interni toħroġ mir-resolver lokali u ma ġġib lura xejn utli.

Verifika li tista’ tiġi ripetuta f’ħames passi

Mexxi s-saffi fl-ordni u waqaf fl-ewwel wieħed li jfalli: kanal tal-kontroll, viżibilità tal-GRE, tweġiba tal-peer PPP, rotta maqsuma għal indirizz intern wieħed, u talba tal-applikazzjoni mit-tunnel. Kull pass għandu l-kmand tiegħu, għalhekk ħsara hija attribwibbli minflok misteruża.

Verżjoni kompatta għal klijent Linux tidher hekk:

sudo tcpdump -ni any 'tcp port 1723 or proto gre' -c 40
ip -4 addr show ppp0
ping -c 3 192.0.2.1
ip route get 10.20.5.10

Fuq Windows japplika l-istess ordni b’route print u l-istat tal-adapter muri fil-klijent. PPTP huwa protokoll antik, u jekk is-server joffri SSTP jew IKEv2, il-moviment normalment huwa użu aħjar tal-ħin milli tittuna mogħdija li tiddependi mill-protokoll 47 li jgħaddi f’kull qabża. Iċċekkja ċ-ċertifikat u l-kuntratt tal-awtentikazzjoni tas-sostitut minflok ma tikkopja profil qadim f’rilaxx ġdid.