د VPN تونل هېڅکله نه نښلوي: پاکټونه په رېښتيا چېرې درېږي

کلاينټ بيا بيا هڅه کوي، لاګ د لاس ورکولو له بشپړېدو مخکې درېږي، او سرور هېڅ هم نه ثبتوي۔ دا بڼه پاملرنه له اعتبارنامې څخه لرې لارې ته اړوي: د دواړو سرونو ترمنځ يو څه د تونل لپاره اړين پروتوکول لېږدولو ته نه غاړه غږوي۔ له دواړو تشکيلاتو څخه چې کوم يو هم لمس کولو مخکې وټاکئ چې پاکټونه چېرې درېږي، ځکه فلټر شوی پروتوکول او غلط پټنوم په ډېرو کلاينټونو کې يو شان مهربان تېروتنه ورکوي۔ ازموينې د لګښت له مخې ترتيب شوې دي، تر ټولو ارزانه لومړی۔

ثابته کړئ چې ټرافيک چېرې درېږي

په يوه وخت کې د کلاينټ د وتلو انټرفېس او سرور باندې کېپچر وکړئ۔ هغه څه چې ووتل د هغو سره پرتله کړئ چې ورسېدل، او يادونه وکړئ چې توپير کوم لوري ته ښکاري۔

په سرور باندې هېڅ نه وي يعنې لار يا لومړی NAT ټرافيک غورځوي، په داسې حال کې چې بې ځوابه رارسېدلې د سرور په فايروال يا نه شته بیرته راستنېدنې لارې ته اشاره کوي۔ هغه روټر چې ډېری وختونه تونلونه پای ته رسوي، ډېری وختونه ګټور لاګ نه ساتي، نو کېپچر پخپله ریکارډ کېږي۔ د منزل پورټ او د پروتوکول شمېره وليکئ، ځکه دواړه ناکامۍ د کلاينټ په ډيالوګ کې يو شان ښکاري۔

PPTP پرته له پروتوکول 47 مري

PPTP کنټرول پر TCP 1723 او خپل ډاټا د GRE په داخل کې لېږدوي، چې پورټ شمېره نه بلکې IP پروتوکول 47 دی۔ يوازې 1723 فوروېرډ کول کلاسيک پايله ورکوي: اړيکه تصديقېږي او بيا غلې کېږي، ځکه د هغه پروتوکول لپاره چې بار لېږدوي هېڅ قاعده نشته۔ کلاينټ دا له رد شوي پټنوم څخه نه شي بېلولای، نو کېپچر بايد د تشکيلاتو له بدلونونو مخکې وي۔

پاس ترو د داخلېدونکي فوروېرډ مخالف لوري ته ځي، او فرم وير ډېری وختونه دواړو لپاره يوه نښه کاروي، چې ټول سر ټکي کوي۔ په Linux کلاينټ کې ځايي فايروال کولای شي GRE ډېر ژر وغورځوي مخکې له دې چې روټر ښکېل شي، نو پروتوکول 47 خپله قاعده غواړي او conntrack مرستندوی بايد بار شي۔ د اوبونټو ufw دا قواعد د before په فايل کې ساتي، ځکه عادي allow قواعد د پروتوکول شمېره نه شي څرګندولای۔ وروسته فايروال بيا بار کړئ، نه دا چې ماشين بيا پيل کړئ۔

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP او IPsec د دوو NAT تر شا

L2TP د IPsec په داخل کې د کلي له تبادلې لپاره UDP 500، کله چې NAT وپېژندل شي UDP 4500، او د پروتوکول 50 په توګه ESP غواړي۔ هر يو يې په خپلواکه توګه فلټرېږي، نو هغه قاعده چې يو ته اجازه ورکوي د نورو دواړو په اړه هېڅ نه ثابتوي۔ دوه روټرونه په پرلهپسې توګه هر پاکټ دوه ځله ژباړي، او سرونه نور په دې نه يو ږغېږي چې څه خبرې شوې۔

باندې مودم په برج حالت کې وګرځوئ، يا په داخلني روټر کې NAT بند کړئ، تر څو عامه پته هغه وسيلې ته ورسېږي چې تونل پای ته رسوي۔ چېرې چې دواړه ناممکن وي، تونل بايد د دوه ګوني NAT له پولې دننه پيل شي، نه هلته پای ومومي۔

د کيرير شبکه او د پتو شريکول

WAN پته چې د 10.0.0.0/8، 172.16.0.0/12، 192.168.0.0/16 يا 100.64.0.0/10 په داخل کې وي يعنې روټر عامه پته نه لري او له انټرنېټ څخه هېڅ داخلېدونکی فوروېرډ نه شي رسېدلای۔ د کيرير کچې NAT هغه پروتوکولونه هم فلټروي چې تمه يې نه لري، او GRE په موبايل لېنکونو کې ډېری وختونه قرباني کېږي۔ WAN پته په خپل روټر باندې پرتله کړئ، نه هغه پته چې يوه لټون سايټ د هغې شاته کلاينټ لپاره راپور ورکوي۔

هماغه روټر په تار لرونکې ليکه چلول په يوه ازموينه کې د کيرير موندنه له تشکيلاتي تېروتنې بېلوي۔ چېرې چې کيرير پروتوکول ردوي، پاتې انتخابونه 443 باندې بل لېږد يا له داخل څخه پيل شوی تونل دی۔

له پورټونو بندولو مخکې د اورېدونکو لړليک ولولئ

د پورټونو اندېښمنوونکی سکن ډېری وختونه يوازې هغه ځانګړنې وي چې فعالې راځي۔ اورېدونکي لړ کړئ، هر سوکټ له يوې ځانګړنې سره ونښلوئ، بيا د پورټ بلاکولو پرځای ځانګړنه بنده کړئ، تر څو دواړه ليدونه سره ونه شي۔

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

د SoftEther ډيفالټونه ښه بېلګه ده: TCP 443، 992 او 5555، او د L2TP/IPsec او DNS-تونل ځانګړنې خپل سوکټونه زياتوي۔ هغه ځانګړنې بندول اورېدونکي نه پټوي بلکې لرې کوي، او له باندې هوسټ څخه ازموينه وايي چې کيرير پورټ پرېږدي که نه۔ په ځايي توګه ځواب ورکوونکی اورېدونکی کېدای شي لا هم پورته بند وي، نو د روټر خپله WAN پته د باندې خدمت له راپور سره پرتله کړئ۔