د pptpd د GRE لیکلو ناکامي د پټنوم ستونزه نه ده

په لاګ کې د GRE لیکلو ناکامي، او لومړی احساس د کاروونکي پټنوم بیا تنظیمول دي. دا احساس نږدې تل غلط وي. دا پیغامونه د معلوماتو لاره تشریح کوي، نه د اعتبارنامې کتنه: کیدای شي کليانٹ په بریالیتوب سره تصدیق شوی وي او بیا په هغه مرحله کې ودریږي چې په شبکه کې ثبت شي. دوه جلا پیغامونه دوه جلا نیمګړتیاوو ته اشاره کوي، او هیڅ یو هم د نوي پټنوم له مخې نه حل کیږي.

دوه پیغامونه، دوه جلا نیمګړتیاوې

د لوستلو ناکامي معنی دا ده چې د GRE پاکټونه هیڅکله ډیمون ته نه رسیږي، یا د داخلیدو په لاره کې غورځول کیږي. د کنټرول اړیکه ممکن په بشپړ ډول روغ ښکاره شي پداسې حال کې چې د معلوماتو له لارې هیڅ نه تیریږي. تصدیق یوازینی شی دی چې په څرګنده توګه کار وکړ.

د لیکلو ناکامي معمولا معنی دا ده چې غونډې داسې یو څه خبرې کړي چې کرنل یا کليانٹ یې نه شي کارولی. د کنټرول چینل بشپړ شو، او هغه انتخابونه چې په دې تبادله کې موافق شوي د هغه څه سره سمون نه لري چې پای ټکي واقعیا کولی شي. دا د ترتیباتو اختلاف دی، نه د تصدیق پیښه.

د هر څه بدلولو دمخه ولولئ چې د دواړو څخه کوم ښکاري. دوی تاسو مختلفو طبقو ته لیږي، او دوی د یوې نښې په توګه ګڼل هغه دلیل دی چې یو سرور دوه ځله د بې اړیکې دلیلونو له مخې پیچ کیږي. د لاګ کرښه یوازینی وړیا تشخیص دی چې تاسو یې ترلاسه کوئ.

پروتوکول 47 پورټ 47 نه دی

PPTP د زنګ د جوړولو لپاره TCP 1723 او د بار د وړلو لپاره GRE کاروي. GRE د IP پروتوکول 47 دی، نه د پورټ شمیره، نو هغه فایر وال قاعده چې پورټ 47 پرانیزي هیڅ ګټور شی نه اجازه کوي.

په لاره کې روټر ته د PPTP passthrough ځانګړتیا یا د GRE واضح اجازه ته اړتیا ده. پرته له دې د TCP لاس ورکول بشپړیږي او ټونل هیڅکله پاکټ نه وړي، چې دقیقا پورتنۍ د لوستلو ناکامي رامنځته کوي. په فایر وال کې د پورټ 47 قواعد په دې پروتوکول کې ترټولو ډیر ضایع شوی ماسپښین دي.

د دې پرځای چې اټکل وکړئ کوم اړخ ترافیک غورځوي، په سرور کې دواړه لوري یوځل وګورئ: tcpdump -ni any port 1723 or proto gre.

که 1723 د زنګ جوړول ښکاره کړي او GRE چوپ وي، بندیز د کوربه له پاسه دی. که GRE راشي او ډیمون لاهم ناکام شي، ستونزه سیمه ایزه ده او انتخابونه بل کتلو ځای دی.

GRE هغه ځای کې اجازه کړئ چې کوربه واقعیا مخته لیږي

د GRE لپاره د forward قاعده داخلول د ټونل ترافیک مخته لیږونکي کوربه کې مناسبه ازموینه ده، او دا پالیسي نه ده. هغه ازموینه قاعده چې د یو پروتوکول هر څه مني تشخیص دی، نه ډیزاین. د یو څه زده کولو لپاره یې پریږدئ، بیا یې د محدودې قاعدې سره بدل کړئ.

د هغو پاکټونو لپاره input قاعده اضافه کړئ چې سرور ته پخپله لیږل شوي، ځکه د forward ځنځیر دوی نه ویني. بیا د اتصال هڅې دمخه او وروسته د قاعدې شمارونکي وګورئ، چې تاسو ته وایي پاکټونه اصلا رسیږي که نه.

قاعده د هر بیا پیلیدو وروسته بیا چلولو پرځای د ویش د فایر وال خدمت له لارې تلپاتې کړئ. په nftables کوربه کې، ip protocol gre هم په input او هم په forward ځنځیر کې سره سم کړئ.

ډاډ ترلاسه کړئ چې ppp_generic ماډل هم بار شوی، او وګورئ چې د اتصال تعقیب د بیرته ستنیدو لوري غورځوي که نه. دواړه د فایر وال ستونزه په څیر ښکاریدونکې خو نه وي ناکامۍ رامنځته کوي. ورک کرنل ماډل تر څیړنې پورې دقیقا د بند شوي پروتوکول په څیر ښکاري.

انتخابونه هغه کليانٹ سره سم کړئ چې واقعیا یې لرئ

د بل راپور سمون /etc/ppp/pptpd-options کې دی، چېرې چې لارښود PAP، CHAP او MSCHAP ردوي، اړوند require کرښې تبصره کوي او د حالت سره MPPE ساتي. هغه لارښود د یو کليانٹ ترکیب لپاره لیکل شوی و، او ړوند نقل کول عادي قضیه ماتوي. د رد کرښې د سپارښتنې په توګه نه، بلکې د لیکوال د کليانټونو په اړه د بیان په توګه ولولئ.

Windows کليانٹ معمولا MS-CHAPv2 د MPPE-128 سره غواړي. هغه اړتیاوې وساتئ او یوازې هغه انتخابونه لرې کړئ چې کليانٹ واقعیا نه شي خبرې کولی.

# keep encryption; drop only what this client cannot negotiate
refuse-pap
refuse-chap
refuse-mschap
mppe-stateful
require-mschap-v2
require-mppe-128

د اتصال د بریالیتوب لپاره کوډ کول بندول یوې کموالی دی، نه ترمیم. داسې ډول په لابراتوار لینک کې وازموئ، بیا کوډ کول بیرته راولي دمخه له دې چې خدمت ریښتیني کليانټونه وویني. هغه اتصال چې ناامنه کار کوي د هغه څخه بدتر دی چې په صداقت سره ناکام شي.

د کليانټ د تېروتنې شمیره ولولئ

د کليانټ عددي کوډ مرحله د سرور لاګ په پرتله ژر لنډوي. دا د بل هر څه لوستلو دمخه ولولئ. 691 معنی دا ده چې اعتبارنامې رد شوې، 721 معنی دا ده چې سرور هیڅکله ځواب نه ورکړ، او 619 معنی دا ده چې اړیکه پرې شوه. د شمیرې سره دوه دقیقې د ترتیباتو سره یو ساعت خوندي کوي.

د هر څه سمولو دمخه هغه کوډ د سرور لاګ سره پرتله کړئ، او د هر بدلون وروسته د هماغه کليانټ سره بیا وازموئ. که نه نو دوهمه نیمګړتیا د لومړي شاته پټیږي او سمون بې اغیزه ښکاري.

کله چې ننوتل بریالي شي او هیڅ ترافیک نه خوځیږي، GRE لاهم شکمن دی. دا هغه شیبه ده چې د اعتبارنامې ذخیرې پرځای نیول کې ته بیرته لاړ شئ.