VPN tunel se nikad ne povezuje: gde se paketi zaista zaustavljaju

Tunel koji se nikad ne formira ostavlja prazan zapis na oba kraja. Pratite da li se GRE, ESP ili UDP 4500 odbacuju i uočite NAT operatera pre nego što dirate server.

Klijent stalno pokušava ponovo, zapis se zaustavlja pre završetka rukovanja, a server ne beleži baš ništa. Taj obrazac skreće pažnju sa akreditiva na putanju: nešto između dva kraja odbija da prenosi protokol koji tunelu treba. Utvrdite gde se paketi zaustavljaju pre nego što dotaknete bilo koju od dve konfiguracije, jer filtriran protokol i pogrešna lozinka daju istu ljubaznu grešku u većini klijenata. Testovi su poređani po ceni, najjeftiniji prvi.

Dokažite gde se saobraćaj zaustavlja

Snimajte istovremeno na izlaznom interfejsu klijenta i na serveru. Uporedite šta je otišlo s onim što je stiglo i zabeležite u kom se smeru razlika pojavljuje.

Ništa na serveru znači da putanja ili prvi NAT odbacuje saobraćaj, dok dolasci bez odgovora upućuju na firewall na serveru ili na povratnu rutu koja ne postoji. Ruter koji često terminira tunele obično ne vodi koristan zapis, pa snimak postaje zapis. Zapišite odredišni port i broj protokola, jer oba kvara izgledaju isto u dijalogu klijenta.

PPTP umire bez protokola 47

PPTP nosi kontrolu na TCP 1723, a podatke unutar GRE, koji je IP protokol 47, a ne broj porta. Prosleđivanje samo 1723 daje klasičan ishod: veza se autentifikuje, a zatim utihne, jer ne postoji pravilo za protokol koji nosi korisni teret. Klijent to ne može razlikovati od odbijene lozinke, zato snimak mora doći pre izmena konfiguracije.

Passthrough radi u suprotnom smeru od dolaznog prosleđivanja, a firmware dovoljno često koristi jednu oznaku za oboje da zbuni svakoga. Na Linux klijentu lokalni firewall može odbaciti GRE mnogo pre nego što ruter uopšte sudeluje, pa protokol 47 treba vlastito pravilo i conntrack pomoćnik mora biti učitan. Ubuntuov ufw drži ta pravila u datoteci before, jer obična allow pravila ne mogu izraziti broj protokola. Nakon toga ponovo učitajte firewall umesto da restartujete mašinu.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP i IPsec iza dva NAT-a

L2TP unutar IPsec-a treba UDP 500 za razmenu ključeva, UDP 4500 kada se otkrije NAT i ESP kao protokol 50. Svaki od njih se filtrira nezavisno, pa pravilo koje dopušta jedan ne dokazuje ništa o druga dva. Dva rutera u nizu prevode svaki paket dvaput i krajnje tačke se više ne slažu oko toga šta je dogovoreno.

Prebacite spoljni modem u bridge režim ili isključite NAT na unutrašnjem ruteru, kako bi javna adresa stigla do uređaja koji terminira tunel. Gde nijedno nije moguće, tunel se mora inicirati iz unutrašnjosti granice dvostrukog NAT-a, a ne tamo terminirati.

Mreže operatera i deljenje adresa

WAN adresa unutar 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 ili 100.64.0.0/10 znači da ruter nema javnu adresu i nijedno dolazno prosleđivanje s interneta ne može do njega doći. NAT na nivou operatera dodatno filtrira protokole koje ne očekuje, a GRE je česta žrtva na mobilnim vezama. Uporedite WAN adresu na samom ruteru, a ne adresu koju stranica za proveru prijavljuje za klijenta iza njega.

Pokretanje istog rutera na žičanoj liniji razdvaja nalaz o operateru od greške u konfiguraciji jednim testom. Gde operater odbija protokol, preostaju opcije drugi transport na 443 ili tunel iniciran iznutra.

Pročitajte listu slušalaca pre nego što zatvorite portove

Alarmantan sken portova često je samo skup funkcija koje se isporučuju uključene. Popišite slušaoce, povežite svaki socket s funkcijom, a zatim isključite funkciju umesto da blokirate port, kako se dva prikaza ne bi razišla.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

SoftEtherovi podrazumevani parametri su dobar primer: TCP 443, 992 i 5555, pri čemu funkcije L2TP/IPsec i DNS tunela dodaju vlastite sockete. Isključivanje tih funkcija uklanja slušaoce umesto da ih skriva, a provera s spoljnog hosta kaže vam pušta li operater port uopšte. Slušalac koji odgovara lokalno i dalje može biti zatvoren uzvodno, pa uporedite ruterovu vlastitu WAN adresu s onim što prijavljuje spoljna usluga.

Povezani članci