ولې د یوه روټر تر شا یوازې یو VPN پیرودونکی نښلول کېږي

دوه لیپ ټاپونه په یوه کورني شبکه کې دي، او د دفتر VPN یوازې یو له هغوی څخه مني۔ دویم یا خپل وخت ختموي یا تر هغه انتظار کوي چې لومړی جلا شي، او د دوو هڅو تر منځ چا د پیرودونکي تنظیم ته لاس نه دی ورکړی۔ د ننوتلو معلومات هغه دي چې یوه دقیقه مخکې کار کول، او دا هغه نښه ده چې تصدیق کول د ستونزې لامل نه دی۔ درې میکانیزمونه دا بڼه جوړوي، او د سرور خپل لاګ وایي چې له کوم یې سره مخ یاست۔

له پیرودونکي سره له لاس وهلو مخکې د دروازې لاګ ولولئ

د دواړو هڅو د سرور ثبت لومړي پوښتنې ته ځواب ورکوي، او په درېیو لارو څخه په یوه ځواب ورکوي۔ که دویمه هڅه په هغه لاګ کې هېڅکله ونه لیدل شي، پاکټ هېڅکله اورېدونکي ته نه دی رسېدلی، او ستونزه د کورني روټر یا د عرضه کوونکي د لارې ده۔ که لاګ هڅه ثبت کړي او هغه رد کړي، تونل رسېدلی، نو خبره د پېژندنې، جواز یا د غونډو حد ده، نه په تار کې د یو څه۔ که لاګ بریالۍ غونډه ثبت کړي او پیرودونکی لا هم د ناکامۍ خبر ورکوي، د بېرته راتلو لار یا دا چې دوه پیرودونکو ته یوه تونل پته ورکول کېږي، وګورئ۔

د تلیفون هټ سپاټ هغه کورنۍ په ارزانه توګه جلا کوي: دویم پیرودونکی د موبایل معلوماتو له لارې وچلوئ او لومړی وصل پاتې شي۔ هلته بریا کورنۍ شبکې ته اشاره کوي، او هم هلته هماغه ناکامي دروازې ته اشاره کوي، چې روټر بې ګناه پرېږدي۔ هېڅ پایله یوازې پرېکنده نه ده، خو هر یو یې په یوه هڅه کې د لټون نیمه برخه لرې کوي۔

له هر څه بدلولو مخکې پایله ولیکئ، ځکه د لاګ درې پایلې درې بې تړاوه ترمیمونو ته رسوي۔ هغه یادښت چې وایي کومه درېیمه مو لیدلې، د پیرودونکي د تېروتنې له سکرین شاټ څخه ډېر ارزښت لري۔

روټر له GRE او NAT-T سره څه کوي

PPTP کلاسیک مجرم دی: د کنټرول چینل TCP 1723 دی، او د معلوماتو لار GRE، یعنې IP پروتوکول 47۔ ډېر د مصرفوونکو روټرونه د PPTP مرستونکي سره راځي چې یوازې یو کنټرول اړیکه تعقیبوي، نو د همدې NAT شاته دویم پیرودونکی خپل کنټرول چینل پرانیزي او بیا هېڅ معلوماتي لار نه ترلاسه کوي۔ د 47 شمېرې TCP پورټ فوروارډ کول GRE ته هېڅ نه کوي، ځکه GRE پورټ نه دی، پروتوکول شمېره ده۔

L2TP د IPsec پر سر په ډیزاین کې توپیر لري: IKE د UDP 500 کاروي، NAT تېرېدل خوندي بار UDP 4500 ته وړي، او انکپسولېشن په همدې خاطر دی چې څو پیرودونکي د یوې پتې شاته یوې دروازې ته ورسېږي۔ دا ډیزاین نه شي منع کولی چې دروازه یا منځنی بکس د هرې پتې لپاره د غونډو حد ولګوي، او له کاناپې څخه دواړه ناکامۍ یو شان ښکاري۔ د SoftEther خپل پروتوکول هم همدا ډول ستونزه لري: هغه روټر چې کار کوونکی تېرېدل نه لري لومړی پیرودونکی له ځایي شبکې مني او دویم غورځوي۔ د روټر ALG یا د تېرېدو سویچ په دواړو حالتونو کې وآزمایئ، ځکه د زوړ پیرودونکي لپاره لیکل شوی مرستونکی کولای شي هغه پاکټونه خراب کړي چې اوسنی یې لېږي۔

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

د پېژندنې هغه حدود چې د لېږد د حدودو په څېر ښکاري

روټر یوازینی شکمن نه دی، او لاګ هغه له بدیل څخه بېلوي۔ کله چې OpenVPN سرور یو ګډ نوم له یوې تونل پتې سره وتړي، دواړه وسایل هغه پته ترلاسه کوي، او د duplicate-cn پرته نوی غونډه زوړ وباسي۔ د هغه انتخاب چالانول دواړه وصل ساتي خو دوی یوازې یوه پېژندنه، یو سند او د لغوه کولو یوه پرېکړه لري، چې له ښکارېدو زیات بد دی۔ بیا دویم وسیله هېڅکله یوازې لغوه کېدلای نه شي، نو د اسانتیا یو سویچ په چوپتیا هغه کنټرول لرې کوي چې وروسته یې اړتیا پیښېدلای شي۔

د سرور ژورنال او د هغه د حالت فایل یوځای ولولئ، ځکه یو د تصدیق پرېکړه ښیي او بل دا چې اوس څوک وصل دی۔ دوه ننوتنې چې یو ګډ نوم او یوه مجازي پته شریکوي، د روټر حد نه، بلکې د پېژندنې ټکر تاییدوي۔ سوداګریزې دروازې خپل حدود ورزیاتوي، لکه هغه پلان چې په یو وخت کې یوه غونډه اجازه کوي، د جوازونو شمېر، یا هغه قاعده چې د هر عامه پتې لپاره یوه غونډه اجازه کوي، او د روټر هېڅ تنظیم له دې څخه هېڅ نه بدلوي۔

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

ترمیم د لاګ ننوتنې سره برابر کړئ

په لاګ کې رد د هر وسیله لپاره جلا د ننوتلو معلومات، له خدمت چلوونکي څخه لوړ حد، یا د یو ماشین لپاره دویمه د دروازې پای ټکی غواړي۔ که هېڅ دویمه هڅه هېڅکله سرور ته ونه رسېږي، دوامداره ترمیم هغه روټر دی چې پروتوکول فوروارډ کوي او له یوې زیاتې غونډې ساتي، یا هغه لېږد چې روټر ښه سمبالوي، لکه یوازې یو TCP یا UDP بهیر۔ د دوی تر منځ انتخاب د سختو وسایلو د عمر په اړه پرېکړه ده، نه د پیرودونکي تنظیماتو۔

د کار کوونکي وسیله پروفایل دویم ماشین ته کاپي مه کوئ او کار مه پای ته رسوئ۔ دا د نښلېدو ستونزه د لاسرسي کنټرول ستونزه جوړوي، ځکه ورک لیپ ټاپ نور له هغه کاپي څخه بېلول کېدلای نه شي چې لا کارول کېږي۔ دا اصلي خرابي هم پټوي، کومه چې درېیم وسیله ښکاره شوه هماغه شیبه بېرته راځي۔

د دوو ژوندیو غونډو تصدیق

دواړه وسایل په یو وخت وصل کړئ، په هر یو کې خپله موخه ایپ وچلوئ، بیا یو له هغوی څخه بیا وصل کړئ او تکرار یې کړئ۔ دویمه نښه چې یوه شیبه ښکاري د ټرافیک په اړه هېڅ نه ثابتوي، او هغه غونډه چې لس دقیقې وروسته لوېږي بله خرابي ده د بل مالک سره۔ سرور چې په پای کې څه وایي هغه له هغه سره پرتله کړئ چې کاروونکو لیدلي، ځکه دا دوه حسابونه ډېری مهال نه سره سمون خوري۔

که دواړه غونډې پاتې شي او ټرافیک یوسي، ترمیم ټینګ پاتې کېږي، او هغه یادښت چې په پیل کې مو ولیکل د دې ثبت شي چې څه ناسم و۔ که یوازې یوه پاتې شي، لومړي ګام ته بېرته لاړ شئ او وګورئ د لاګ درې پایلو څخه کومه اوس لرئ، ځکه ځواب کېدای شي بدل شوی وي۔ د روټر مرستونکي کولای شي هغه ستونزه پټه کړي چې په بله شبکه کې بیا ښکاري، خو د هرې پتې حد وسیله نه، کاروونکی تعقیبوي۔ له بلې شبکې ازموینه دا موندلو تر ټولو ارزانه لار ده چې له دوی څخه مو په رښتیا کومه سمه کړې۔