It-tunnel VPN qatt ma jingħaqad: fejn tassew jieqfu l-pakketts

Il-klijent ikompli jerġa' jipprova, il-log jieqaf qabel ma titlesta l-ħabta tal-idejn, u s-server ma jirreġistra xejn. Dan il-mudell ikeċċi l-attenzjoni mill-kredenzjali lejn il-passaġġ: xi ħaġa bejn it-truf tirrifjuta li ġġorr il-protokoll li jkun jeħtieġ it-tunnel. Iddeċiedi fejn jieqfu l-pakketts qabel ma tmiss xi waħda miż-żewġ konfigurazzjonijiet, għax protokoll iffiltat u password żbaljata jipproduċu l-istess żball ħbiberija fil-biċċa l-kbira tal-klijenti. It-testijiet huma ordnati skont l-ispiża, l-orħos l-ewwel.

Ipprova fejn jieqaf it-traffiku

Aqbad fl-istess ħin fuq l-interface tal-ħruġ tal-klijent u fuq is-server. Qabbel dak li ħareġ ma' dak li wasal, u innota f'liema direzzjoni tidher id-differenza.

Xejn fuq is-server ifisser li l-passaġġ jew l-ewwel NAT qed iwarrbu t-traffiku, filwaqt li wasliet mingħajr tweġibiet jindikaw firewall fuq is-server jew rotta tar-ritorn li ma teżistix. Router li spiss itemm tunnels rari jżomm log utli, għalhekk il-qabda ssir ir-rekord. Ikteb il-port tad-destinazzjoni u n-numru tal-protokoll, għax iż-żewġ fallimenti jidhru l-istess fid-djalogu tal-klijent.

PPTP jmut mingħajr il-protokoll 47

PPTP iġorr il-kontroll fuq TCP 1723 u d-dejta tiegħu ġewwa GRE, li huwa l-protokoll IP 47 u mhux numru tal-port. Li tibgħat biss 1723 jagħti r-riżultat klassiku: il-konnessjoni tawtentika u mbagħad tisku, għax ma teżisti l-ebda regola għall-protokoll li jġorr it-tagħbija. Il-klijent ma jistax jiddistingwi dan minn password miċħuda, għalhekk il-qabda trid tiġi qabel il-bidliet fil-konfigurazzjoni.

Passthrough jimxi fid-direzzjoni opposta għal forwarding deħlin, u l-firmware juża spiss biżżejjed tabella waħda għat-tnejn biex iħawwad lil kulħadd. Fuq klijent Linux il-firewall lokali jista' jwarrab GRE ħafna qabel ma jkun involut ir-router, għalhekk il-protokoll 47 jeħtieġ regola tiegħu u l-assistent conntrack irid ikun imgħobbi. ufw ta' Ubuntu iżomm dawn ir-regoli fil-fajl before, għax regoli allow ordinarji ma jistgħux jesprimu numru tal-protokoll. Wara ċċarġja mill-ġdid il-firewall minflok ma terġa' tibda l-magna.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP u IPsec wara żewġ NATs

L2TP ġewwa IPsec jeħtieġ UDP 500 għall-iskambju tal-keys, UDP 4500 meta jinstab NAT, u ESP bħala protokoll 50. Kull wieħed minnhom jiġi ffiltat b'mod indipendenti, għalhekk regola li tippermetti wieħed ma tipprova xejn dwar it-tnejn l-oħra. Żewġ routers f'serje jittraslate kull pakkett darbtejn, u t-truf ma jaqblux aktar dwar x'inġġieled.

Iġbor il-modem ta' barra fil-bridge, jew itfi n-NAT fuq ir-router ta' ġewwa, sabiex l-indirizz pubbliku jilħaq il-mezz li jtemm it-tunnel. Fejn l-ebda waħda mhi possibbli, it-tunnel irid jinbeda minn ġewwa l-konfini tan-NAT doppju, mhux jitwettaq hemmhekk.

Netwerks tal-operaturi u kondiviżjoni tal-indirizzi

Indirizz WAN fi 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 jew 100.64.0.0/10 ifisser li r-router m'għandux indirizz pubbliku u l-ebda forwarding deħlin mill-internet ma jista' jilħqu. In-NAT fil-livell tal-operatur jiffiltra wkoll protokolli li ma jistenniex, u GRE spiss ikun vittma fuq links mobbli. Qabbel l-indirizz WAN fuq ir-router innifsu, mhux l-indirizz li sit ta' tfittxija jirrapporta għal klijent warajh.

It-tħaddim tal-istess router fuq linja bil-wajer jifred sejba tal-operatur minn żball fil-konfigurazzjoni b'test wieħed. Fejn l-operatur jirrifjuta l-protokoll, l-għażliet li jifdal huma trasport ieħor fuq 443 jew tunnel imniedi minn ġewwa.

Aqra l-lista tas-semmiegħa qabel ma tagħlaq il-ports

Port scan li jġiegħel l-inkwiet spiss ikun biss is-sett ta' karatteristiċi li jiġi pprovdut attiv. Inventarja s-semmiegħa, qabbel kull socket ma' karatteristika, imbagħad itfi l-karatteristika minflok ma timblokka l-port, sabiex iż-żewġ veduti ma jitbiegħdux.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

Il-predisposti ta' SoftEther huma eżempju tajjeb: TCP 443, 992 u 5555, bil-karatteristiċi L2TP/IPsec u tunnel DNS iżidu s-sockets tagħhom. L-itfi tal-karatteristiċi jneħħi s-semmiegħa minflok ma jaħbihom, u t-test minn host ta' barra jgħidlek jekk l-operatur iħallix il-port jgħaddi. Semmiegħ li jwieġeb lokalment jista' xorta jkun magħluq 'il fuq, għalhekk qabbel l-indirizz WAN tar-router innifsu ma' dak li jirrapporta servizz ta' barra.