په Linux کې له IPsec پرته L2TP: xl2tpd، pppd او NAT

ساده L2TP په یوه پوښ کې PPP دی، او نور هیڅ نه۔ ستاسو فریمونه لیږدوي؛ هغه نه کوډ کوي او نه ثابتوي چې بل سر ته څوک ناست دی، له همدې کبله نږدې هر ځای پرځای کول ترې لاندې IPsec اېږدي۔ د بربنډ نسخې چلولو لپاره صادقانه دلایل لا هم شته: د لابراتوار میز، د لېږد یو ګام، یا هغه لینک چې له پخوا بل محافظت شوي مسیر دننه دی۔

که تاسو مخ ته ځئ، دا خبرداری د ډیزاین یادښت کې ولیکئ او همالته یې پرېږدئ۔ راتلونکی د عملیاتي لارې بیان دی چې زه یې په Debian او RHEL کورنیو کوربه وو کاروم: کوم فایل د څه مسول دی، هغه MTU چې کلاسیک بندښت مخه نیسي، او هغه لېږدولوینې قاعدې چې تونل ارزښتناک کوي۔

درې فایلونه کار وېشي

xl2tpd د کنټرول اړیکه پای ته رسوي او هر سیشن PPP ډیمون ته سپاري، نو ترتیبات په دوو پروګرامونو کې خپاره دي چې هېڅکله د یو بل فایلونه نه لولي۔ اورېدونکی په /etc/xl2tpd/xl2tpd.conf کې، د [lns default] برخې دننه اوسي، کومه چې د پتو حوض ip range، د سرور خوا local ip او PPP ته سپارل pppoptfile ونوموي۔ require authentication = yes فعال کړئ، length bit او flow bit فعال پرېږدئ، او هغه حوض وټاکئ چې په کوربه باندې بل څه نه کاروي۔

د PPP پالیسي هغه فایل پورې اړه لري چې دا انتخاب یې نوموي، معمولاً /etc/ppp/options.xl2tpd: auth، د pap، chap او mschap لپاره ردونه، require-mschap-v2، 1460 MTU او MRU، او هغه DNS پته چې مراجع یې د اړیکې له پورته کېدو وروسته رسېدلی شي۔ اعتبارنامه بیا درېیم فایل دی، /etc/ppp/chap-secrets، چېرې چې دویم ساحه باید د LNS برخې له نوم سره سمون ولري او څلورمه ساحه کولای شي له حوض څخه ځانګړې پته وتړي۔

ولې تونل نښلېږي او بیا بندېږي

د 1500 بایټ Ethernet چوکاټ په هغه لار کې نه ځایېږي چې له پخوا خپلو سرلیکونو ته بایټ لګوي۔ بهرنی IPv4 سرلیک 20 لګوي، UDP 8، او L2TP سرلیک شاوخوا 12، چې PPP او د هغه بار لپاره 1460 پرېږدي۔ همدا لږه شمېره په PPP کې اعلانول لوی پاکټونه له ټوټه کېدو یا په منځ کې چېرې په غلیمه توګه لوېدو ژغوري۔

نښه هغه تونل دی چې تر ریښتیني ټرافیک راتلو پورې روغ ښکاري: پنګونه او کنټرول پیغامونه تېریږي، د فایل کاپي بندېږي، په لاګ کې هېڅ شی يې نه تشریح کوي۔ په دواړو سرو MTU او MRU یوځای راټیټ کړئ۔ یوازې مراجع سمول معمولاً کلک بندښت په وختي بندښت بدلوي، چې تشخیص یې لا بدتر دی۔

یو پورټ دوه خبرې وړي

UDP 1701 د پروتوکول دواړو نیمو لاندې دی، او همدا یوه واقعیت له بل هرې برخې څخه ډېر د اورېدې قاعدې ماتوي۔ لومړی د کنټرول اړیکې د پیل غوښتنه او ځواب یې راځي؛ وروسته سیشن غوښتنه او تایید له پیژندونکي جوړه پرته بل څه نه قایموي۔ بیا PPP مسولیت اخلي: د اړیکې کنټرول، بیا تصدیق، بیا د پتو د هوکړې لپاره IP کنټرول پروتوکول۔ هر پړاو په لاګ کې خپله اصطلاحات لري، او هېڅ یو یې ځان د L2TP ناکامي نه اعلانوي۔

د ثبت لوستل په همدې ترتیب سره وایي کوم پړاو ناکام شو، او د PPP تصدیق ناکامي د xl2tpd په سمون سره نه جوړېږي۔ شریکه پورټ بله عامه ناکامي تشریح کوي: هغه قاعده چې یوازې د بهیر لومړني پاکټونه اجازه ورکوي سیشن جوړېدو ته پرېږدي او بیا لېږد بندوي۔ 1701 د ټولې خبرې لپاره، په دواړو خواوو اجازه ورکړئ۔

تونل ګټور کول: لېږد او NAT

سیشن یوازې پخپله تر سرور رسېږي۔ د مراجعینو انټرنیټ لاسرسي لپاره لېږد، په پورتني لینک باندې د حوض لپاره NAT قاعده، او هغه DNS ته اړتیا ده چې مراجع یې د اړیکې له پورته کېدو وروسته واقعاً پوښتلای شي۔ حوض باید د LAN له سیمې بهر پاتې شي، که نه نو مراجعینو ته لېږل شوي ځوابونه د تونل ته بېرته ټېل وهلو پرځای په سیمه ییز ډول رسول کېږي۔

په سرور کې لېږد د sysctl -w net.ipv4.ip_forward=1 سره فعال کړئ، حوض د iptables -t nat -A POSTROUTING -s 10.44.0.0/24 -o eth0 -j MASQUERADE سره وژباړئ، بیا د -i ppp0 -o eth0 لپاره د FORWARD قاعدې سره وتونکی تونل ټرافیک او د هندارې قاعدې سره -m state --state RELATED,ESTABLISHED بېرته راتونکی ټرافیک ومنئ۔ دا قاعدې د بیا پیلونو ترمنځ دوامداره وساتئ، ځکه هغه سرور چې پرته له دوی بېرته راځي، په سمه توګه د ماتې L2TP ترتیباتو په څېر ښکاري۔

د سرور خپل LAN ته رسېدل بله دنده ده: په LAN راؤټر کې د حوض لپاره د بېرته تلو لاره اضافه کړئ، یا په سرور کې proxy ARP وچلوئ۔ مراجعین د NAT تر شا پټول کله چې په LAN کې یو څه باید مستقیم هغوی ته ووایي، یوازې د وروسته لپاره دویم ډیبګ سیشن ټاکي۔

بربنډ سټک څه نه کوي، او څنګه یې وګورو

د دې سټک هېڅ برخه PPP فریمونه نه کوډ کوي، او په کې هېڅ شی لرې سر د هغه سرور په توګه نه تصدیقوي چې تاسو واقعاً ټاکلی و۔ MS-CHAPv2 د اعتبارنامو تبادله یوازې کتونکي اورېدونکي څخه ساتي، خو په لار کې ناست بریدګر بیا هم کولای شي په سیشن کې لاس ووهي۔ د Windows اصلي مراجع L2TP یوازې له IPsec سره وړاندې کوي، نو Linux، د راؤټرونو فرم ویر او د دریمې خوا مراجعین د خپلو سیالانو په توګه حساب کړئ۔ بربنډ ترتیبات د تشخیص منګي په توګه وګورئ، هېڅکله د دریېدو ځای نه۔

په ټاکلي ترتیب سره وګورئ: xl2tpd -D په مخکیني پلان کې وچلوئ، د PPP پړاو لپاره ژورنال وګورئ، په دواړو سرو کې له ip addr څخه ټاکل شوې پته ولولئ، بیا د سیشن له پورته کېدو وروسته د معلوماتو بهېدو د تایید لپاره UDP 1701 ونیسئ۔ که څلور واړه سمون وکړ او ټرافیک بیا هم ناکام شي، تېروتنه په لاره وهلو، NAT یا MTU کې ده، نه په خود L2TP کې۔