د کورني راؤټر شاته PPTP سرور: لومړی 1723 او GRE سم کړئ

د کورني راؤټر شاته PPTP په دوو بې‌اړیکو لارو ناکامېږي، او د دوی ګډول یوه بشپړه ماښام ضایع کوي۔ یوه نیمګړتیا د لېږد تشه ده: راؤټر TCP 1723 تېروي او IP پروتوکول 47 غورځوي، نو کلاینټ په 619 خطا کې پاتې کېږي۔ بله د اندازې ستونزه ده: ټنل پورته کیږي، تصدیق کیږي، او بیا یخ شي کله چې بشپړ اندازې پاکټ باید تېر شي۔ دا معلومول چې له دوی کوم یو لرئ لومړی ریښتینی ګام دی؛ پاتې برخه پرتله کوي چې ستاسو راؤټر څه څرګندولی شي، نه دا چې کوم برانډ غوره دی۔

دوه وړونکي، او یوازې یو یې پورټ لري

PPTP په دوو وړونکو ویشل کیږي: په TCP 1723 کې کنټرول اړیکه، او په پراخه GRE کې پوښل شوي PPP فریمونه، یعنې IP پروتوکول 47۔ GRE پورټ شمېره نه لري، نو هغه قاعده چې د 1723 پورټ لېږد په توګه لیکل شوې وي نشي کولی پوښي یې، هر څه چې ویب انټرفیس هغه ساحه ونوموي۔ کورنی راؤټر معمولاً د پروتوکول قاعدې پر ځای د PPTP تېرېدو په نامه بکس وړاندې کوي، او هغه بکس دوه کارونه کوي: پروتوکول 47 د اور دېوال له لارې تېروي، او NAT ته د GRE جریان تعقیب ور زده کوي۔ په لینکس راؤټر کې دا کارونه جلا ماډلونه او جلا قواعد دي، له همدې کبله نیمګړی تنظیم شوی تېرېدل بیا هم کاري کنټرول چینل تولیدوي۔ مخکې له دې چې څه بدل کړئ ومومئ کومه نیمه موجوده ده۔

د سرور خپل اور دېوال هم باید د راؤټر له پتې پروتوکول 47 ته اجازه ورکړي۔ هغه کوربه اور دېوال چې یوازې 1723/tcp مني، د LAN له داخل څخه 619 خطا بیا تولیدوي، چې مات لېږد او مات کوربه قاعده یو شان ښکاره کوي۔

sudo iptables -S FORWARD | grep -i gre
sudo nft list ruleset | grep -i gre
lsmod | grep -E 'nf_conntrack_proto_gre|nf_nat_proto_gre'

که ماډلونه نشته، د sudo modprobe nf_conntrack_proto_gre nf_nat_proto_gre سره یې بار کړئ او بارول تلپاتې کړئ، ځکه هغه بیا پیل چې مرستونکی هېر کړي کاري ټنل بیا 619 خطا ته اړوي۔ د لېږد قاعده باید پروتوکول 47 یوازې د سرور پتې په لور ومني، نه ټول LAN۔ په RFC 2637 کې تعریف کنټرول او معلوماتي لارې بېلوي، له همدې کبله هیڅ یو پورټ لېږد سکرین PPTP په بشپړه توګه نه توصیفوي۔

د تېرېدو بکس یا روښانه پروتوکول قاعده

هغه تېرېدو بکس چې یوازې اور دېوال پرانیزي، د هغه ALG څخه چې د زنګ پېژندونکي بیا لیکي، سم ته نږدې دی۔ د اور دېوال نیمه وړاندوینه کېدونکې ده، ځکه پروتوکول 47 یا منل کیږي یا غورځول کیږي، او شمېرونکي وایي کوم۔ د بیا لیکنې نیمه هغه ځای دی چې جوړونکي توپیر لري، ځکه د PPTP د زنګ پېژندونکي د هر ټنل لپاره دي او هغه NAT چې سمول یې کوي باید هر هغه زنګ تعقیب کړي چې لاس وروړي۔ کله چې یو کلاینټ ونښلي او دوه نه، ALG لومړی شکمن دی۔

د 1723 لپاره د منزل NAT قاعده هم د مالکیت ستونزه لري۔ که پخوانۍ قاعده لا هم 1723 هغه کوربه ته لېږي چې سرور یې پرېښی دی، پاکټونه بند پورټ ته لوېږي او د راؤټر خپله PPTP خدمت ځواب ورکول بندوي، چې د اور دېوال ناکامۍ په توګه لوستل کیږي خو په رښتیا پخوانی هدف دی۔ دویمې قاعدې له اضافه کولو مخکې قاعده او د هغې منزل ولولئ۔ په هغو راؤټرونو کې چې پخپله PPTP پای ته رسوي، WAN قاعده له جوړ شوي خدمت سره سیالي کوي، نو د 1723 او پروتوکول 47 لپاره یو مالک وټاکئ۔

د یو NAT شاته دوه کلاینټ هغه حالت دی چې ساده لېږد له هوښیاره بېلوي۔ پرته له دې چې د زنګ پېژندونکي بیا ولیکل شي، پروتوکول 47 لېږل معمولاً د هغه مرستونکي څخه ښه چلند کوي چې غواړي یې سم کړي۔

مخکې له دې چې راؤټر ملامت کړئ ټنل اندازه کړئ

PPTP ګټور بار کموي، او دا کموالی حساب دی نه راز۔ هر ټنل پاکټ بهرنی IP سرلیک، پراخ GRE سرلیک، PPP سرلیک او د کوډ کولو سره MPPE سرلیک وړي۔ کله چې لار نشي کولی رامنځته شوی فریم ووړي، کوچني پاکټونه تېریږي، ننوتل بشپړیږي، او کله چې د فایل لېږد یا TLS لاس ورکول لومړی ځل بشپړ اندازې پاکټ ولېږي سیشن ودریږي۔

د اټکل پر ځای شمېره حساب کړئ۔ پراخ GRE 8 بایټ، PPP 4 بایټ، MPPE 4 بایټ، او بهرنی IP سرلیک 20 بایټ دی، نو ټنل له هر بار مخکې 36 بایټ خوري۔ په هغه PPPoE WAN کې چې په 1492 پای ته رسیږي، تر ټولو لوی PPP MTU چې ځای پرځای شی 1492 منفي 36 دی، یعنې 1456۔ په PPP انتخابونو کې mtu او mru هغه ارزښت ته وټاکئ او بې له ټوټه کېدو پینګ سره بیا ازموینه وکړئ۔

ping -M do -s 1464 198.51.100.7
grep -E '^(mtu|mru)' /etc/ppp/options.pptpd

پینګ لار اندازه کوي، نه ټنل: 1464 بایټ بار او 28 بایټ IP او ICMP سرلیکونه په دقیقه توګه د 1492 بایټ فریم ډکوي۔ که هغه پینګ ناکام شي، شمېره راکمه تر څو چې تېر شي، بیا له پایلې 36 کم کړئ۔ د لارې له حد پورته ټاکل شوی ټنل MTU د اندازې د یادولو پرته هیڅ یوه لاګ کرښه نه لري او یخېدو ته لاره هواروي۔

په یوه راؤټر کې PPTP، L2TP/IPsec یا OpenVPN

هماغه راؤټر کولی شي د درېیو معمولو ټنلونو هر یو ووړي، او توپیر په دې کې دی چې څه باید څرګند کړي۔ PPTP په دوو جلا طبقو کې دوې قاعدې غواړي۔ پر IPsec د L2TP لپاره د کیلي تبادلې لپاره UDP 500 او 4500 غواړي، او که NAT-T یې ونه وړي، د بار لپاره پروتوکول 50 غواړي۔ OpenVPN یو UDP پورټ غواړي او هېڅ مرستونکی نه غواړي۔

د L2TP ستون په خپله GRE ته نږدې نه دی۔ ESP IP پروتوکول 50 دی او هغه هم پورټ نه لري، نو هغه راؤټر چې له پروتوکول 47 سره ستونزه لري ممکن له همدې کبله له پروتوکول 50 سره هم ستونزه ولري۔ NAT-T د دې لپاره دی چې ESP په UDP 4500 کې ونغاړي، او کله چې دواړه سرونه یې ملاتړ وکړي د پروتوکول 50 قاعده بې‌ګټې کیږي۔ دا د سرونو ځانګړنه ده، نه د راؤټر د PPTP بکس۔ د دواړو لپاره قواعد لیکلو مخکې تایید کړئ چې کلاینټ په رښتیا کوم انکپسولیشن باندې موافقه کړې۔

OpenVPN هغه انتخاب دی چې د راؤټر په خوا کې تر ټولو کم خوځېدونکي برخې لري۔ یو UDP پورټ، یوه لېږنه، هیڅ د اړیکو تعقیب مرستونکی نه او د زنګ پېژندونکو هیڅ بیا لیکنه نه۔ معامله دا ده چې د جوړ شوي ډایلر پر ځای نصبېدونکی کلاینټ ته اړتیا ده، او ډېری وخت همدا یوازینی دلیل دی چې PPTP په خبرو کې پاتې کیږي۔

څه سمول او څه بدلول

لېږد او MTU سمول تاسو ته کاري ټنل درکوي، نه هغه چې باید وساتل شي۔ د PPTP MSCHAPv2 تصدیق کالونه کالونه برید وړ دی، او کاري ټنل هغه اعتبارنامې لېږدوي چې په آفلاین بیا ترلاسه کېدی شي۔ که لرې وسیله کولی شي L2TP/IPsec یا OpenVPN وچلوي، سمول د نېټې لرونکې لنډمهاله اقدام په توګه وګڼئ۔

پرېکړه په دې ولاړه ده چې لرې سر څه ملاتړ کوي او ترتیبات څومره باید دوام وکړي۔ هغه پخوانۍ وسیله چې یوازې PPTP وایي سمون ترلاسه کوي؛ هر هغه څه چې کلاینټ پرې نصبېدی شي لېږدول کیږي۔

د ټیکټ له بندولو مخکې تایید کړئ چې کلاینټ د ننوتلو نه، لوی لېږد زغمي، او له بیا پیل وروسته هم راؤټر خپله د پروتوکول 47 قاعده ساتي۔ هغه ټنل چې یوه فایل کاپي تېره کړي او د راتلونکي فرم ویئر تازه کولو وروسته مړ شي هېڅکله بشپړ شوی نه و۔