د PPTP تېرېدنه نشته: د Windows VPN 807 تېروتنه سمه کړئ

TCP 1723 فوروډ کول ډېری وخت د PPTP لومړۍ برخه پرانیزي او پاتې برخه ماتې پرېږدي، نو Windows بیا هم هڅه کې 807 تېروتنه ورکوي۔ بله ناڅاپي تمایل د پورټ 47 لپاره قاعده زیاتول دي، او همدا ګام یوه ماسپښین ضایع کوي: GRE په IP سرلیک کې د پروتوکول شمېره ده، نه هغه پورټ چې د فوروډ کولو جدول یې سره سمون کولی شي۔ تر هغه چې روټر پروتوکول 47 تېر نه کړي او هغه له هماغه زنګ سره ونښلوي، تونل نشي پیلېدلی۔ لاندې برخې دوه چینلونه بېلوي او بیا یو یو یې ازموي۔

د پورټ جدول د پروتوکول شمېرې لپاره کومه کرښه نه لري

PPTP دوه خبرې اترې کاروي چې په بېلو لارو ناکامېږي۔ هغه چې په TCP 1723 ده زنګ پیلوي، د لینک معلومات لېږدوي او کله چې کارن جلا شي هغه بندوي۔ د بار اړخ د GRE دننه چلیږي، چې IP سرلیک یې د پروتوکول شمېرې 47 سره نښه کوي، او د هغه تونل دننه PPP د لینک په اړه خبرې کوي او MS-CHAPv2 د اعتبار اسنادو مخ ته ګوري۔

ځکه GRE کوم د لېږد سرلیک نه لري، نو کوم پورټ نه ښیي، له همدې کبله د پورټونو لپاره لیکل شوې قاعده د سمون لپاره هېڅ نه لري۔ هغه روټر چې 1723 فوروډ کوي د هغه TCP غونډې لپاره نقشه جوړوي او هماغه ځای ودريږي۔ هغه فرم‌ویر چې دویمه نیمه اداره کوي دا ځانګړنه PPTP تېرېدنه یا PPTP ALG بولي، او ځینې فرم‌ویرونه دواړه نه وړاندې کوي او دې تشې ته کله هم اشاره نه کوي۔ د چیکباکس نښان د دې په پرتله لږ ارزښت لري چې پروتوکول 47 اصلاً پېژندل کیږي که نه۔

کله چې د معلوماتو لار مري Windows څه راپور ورکوي

807 تېروتنه وایي چې اړیکه بشپړه نشوه، په عمل کې دې معنا چې زنګ سرور ته ورسېد او د معلوماتو چینل پورته نه شو۔ دا د لېږد په اړه پرېکړه ده، نه د حساب۔ 691 تېروتنه هغه ده چې د اعتبار اسنادو یا د تصدیق پروتوکول ناسمونې ته اشاره کوي، نو تاسو بل ځای ته لېږي۔

له پاسورډ لاس وهلو مخکې پر لېږد کار وکړئ۔ د 807 د تعقیب لپاره اعتبار اسناد بدلول ریښتینی خرابي په خپل ځای پرېږدي او بله هڅه لوستل ستونزمن کوي۔

ولې دویم کلاینټ روان تونل ماتوي

څنګه چې د بېلولو لپاره پورټونه نشته، NAT وسیله نشي کولی دوه PPTP کلاینټان هغسې بېل کړي لکه دوه HTTPS غونډې چې بېلوي۔ له همدې کبله ډېری د مصرفوونکو وسایل یوازې یو PPTP زنګ ته اجازه ورکوي او د سرچینې پتې له مخې یې تعقیبوي۔ هغه لپ‌ټاپ چې یوازې کار کاوه، کله چې بله ماشین زنګ ووهي بشپړېدل بندوي، او د کلاینټ له اړخه ناکامي ناڅاپي ښکاري۔ دا بڼه د فرم‌ویر ده، او کوم پروفایل بدلون به یې نه بدلوي۔

کله چې دواړه کلاینټان زنګ وهي د اړیکو جدول وګورئ۔ که تل یوازې لومړی هوسټ نقشه ساتي، روټر خپل د ملاتړ حد ته رسېدلی او د کلاینټ کومه تنظیم به یې ونه خوځوي۔

ثابت کړئ چې کومه نیمه ناکامېږي

پر روټر له هر څه بدلولو مخکې ډاډ ترلاسه کړئ چې TCP 1723 رسیږي، ځکه هماغه ځواب ټاکي چې کومه نیمه ازموئ۔ دا د Windows کلاینټ څخه خپل سرور نوم ته چل کړئ۔ لومړی چاپ کوي چې پورټ ځواب ورکړ که نه، او دویم پرته له کوم ډیالوګ زنګ وهی، دا تکراري هڅې د پرتله کېدو وړ کوي۔

Test-NetConnection vpn.example.com -Port 1723
rasdial "Work VPN"

په پورټ ازموینه کې ریښتینی نتیجه معنا لري چې کنټرول چینل خلاص دی او GRE پاتې شکمن دی۔ ناسمه نتیجه معنا لري چې روټینګ، فلټر یا فوروډ کول مات دي، او د GRE کوم بدلون به یې ونه ژغوري۔ د معلوماتو اړخ باید هغه ځای وګورل شي چې ښکاري، په سرور یا په روټر۔

tcpdump -ni any proto 47

په Wireshark کې سیال یې د ښودلو فلټر ip proto 47 دی، چې هغه چاته سپارل اسانه دي چې پر کمانډ کرښه آرام نه وي۔ GRE چې رسیږي او په ځواب کې هېڅ نه وځي، معنا دا چې د بېرته راتلو لار سمول غواړي۔

تېروتنه واقعاً څه سمه کوي

چېرې چې روټر تنظیم ښیي، PPTP تېرېدنه فعاله کړئ، یا پروتوکول 47 په روښانه ډول هغه فرم‌ویر ته اجازه ورکړئ چې قواعد مني۔ په RouterOS کې د فوروډ کولو قاعده مستقیم پروتوکول سره سمون خوري، هغه څه چې د پورټ پر بنسټ فوروډ کول هېڅکله نشو کولی۔ د مصرفوونکو فرم‌ویر معمولاً هماغه پرېکړه د چیکباکس شاته پټوي، ځینې وخت د پورټ فوروډ کولو پر ځای د امنیت تنظیماتو لاندې۔ که داسې کنټرول نه وي، پر کلاینټ هېڅ شی به یې جبران نه کړي۔

/ip firewall filter add chain=forward protocol=gre action=accept
/ip firewall filter print where protocol=gre

PPTP بدلول بله انتخاب دی او ډېری وخت ارزانه۔ هغه روټر چې پخپله VPN پای ته رسوي د راتلونکو کلاینټانو لپاره دوه ځله NAT نه کوي، او هغه پروتوکول چې د پورټ پر بنسټ NAT یې دمخه اداره کوي هېڅ تېرېدنې ته اړتیا نه لري: OpenVPN پر UDP، SSTP پر TCP 443، یا L2TP/IPsec د NAT-T سره چې ESP په UDP 4500 کې نغاړي۔ PPTP هم له MS-CHAPv2 سره تړلی دی، چې مستندې کمزورتیاوې یې تېروتنه له منځه تللو وروسته هم دا نوي ځای پرځای کولو لپاره بد انتخاب ګرځوي۔

ولیږئ چې کوم قاعده توپیر جوړ کړ، ځکه هماغه ځای به هغه مهال هماغه حد وویني چې دویم کارن لاسرسی غواړي۔ د پروتوکول کچې سمون د شبکې یادښتونو ته ځای لري، چېرې چې بل انجنیر به وګوري۔