PPTP සම්බන්ධ වී පසුව Linux NAT පිටුපස එල්ලී යයි: GRE සහායකය

කිසිවෙක් 1723 යොමු කරයි, සේවාලාභියා සේවාදායකයට ළඟා වෙයි, සත්‍යාපනය ආරම්භ වෙයි, පසුව සියල්ල දෝෂයකින් තොරව නතර වෙයි. ස්වාභාවික නිගමනය වැරදි මුරපදයකි, එබැවින් මුරපදය තුන් වරක් නැවත ටයිප් කෙරේ. යොමු කිරීම හොඳ විය සහ සත්‍යාපන දත්ත හොඳ විය. බිඳුණේ යොමු කිරීම කිසිදා ආවරණය නොකළ දෙවන ප්‍රොටොකෝලය සහ ඒ සමඟ උදව් කිරීම නිහඬව නතර කළ කර්නල් පෙරනිමියයි.

යොමු කිරීම කිසිදා ගැටලුව නොවීය

පෝට් යොමු කිරීමේ රීතියක් TCP හෝ UDP ගමන් විස්තර කරයි. සැසියක මැදදී වෙනත් IP ප්‍රොටොකෝලයකට මාරු වන පැටවුමක් එයට විස්තර කළ නොහැක, PPTP එය හරියටම කරයි.

එබැවින් සම්බන්ධතාවය එල්ලෙන මොහොත දක්වා සෞඛ්‍ය සම්පන්න ලෙස පෙනේ. පෝට් රීතියට පාලනය කළ හැකි කොටස සාර්ථක විය, පාලනය කළ නොහැකි කොටස අසාර්ථක වූ කොටසයි.

පාලනයට TCP, දත්තවලට GRE

ඇමතුම TCP 1723 හරහා සාකච්ඡා කෙරේ. එය නැගීමෙන් පසු පැටවුම GRE වෙත, IP ප්‍රොටොකෝලය 47 වෙත ගමන් කරයි, එය කිසිදු පෝට් අංකයක් රැගෙන නොයයි. පෝට් මත පදනම් වූ රීතියකට ගැළපීමට කිසිවක් නැත.

GRE රැගෙන යන්නේ එහි ශීර්ෂයේ ඇති ඇමතුම් හඳුනාගැනීමකි, NAT පරිවර්තකයා එම ක්ෂේත්‍රය දිශා දෙකෙහිම ස්ථාවරව නැවත ලිවිය යුතුය, එසේ නොමැති නම් සැසියේ දෙකොටස් එකිනෙකා සමඟ එකඟ වීම නතර කරයි. එක් දිශාවක් නැවත ලියා අනෙක නොලියන්නේ නම් සත්‍යාපනය වී පසුව සියලු දත්ත පැකට් ඉවතලන සැසියක් ඇති වේ. රෝග ලක්ෂණයේ හැඩය එයයි: සාර්ථකත්වය, පසුව නිහඬතාවය.

PPTP නොමැති නිරුවත් GRE ට එවැනි නැවත ලිවීමක් අවශ්‍ය නොවේ, එබැවින් සාමාන්‍ය GRE උමං මාර්ගයක් එකම මාර්ගයේ PPTP සේවාලාභියාට අසාර්ථක වන රවුටරයක් හරහා ක්‍රියා කළ හැක.

මොඩියුල හතරක් සහ ඒවා ක්‍රියා විරහිත කළ sysctl

මොඩියුල දෙකක් රාමු කිරීම හසුරුවයි, nf_conntrack_proto_gre සහ nf_nat_proto_gre. තවත් දෙකක් ඇමතුම් හඳුනාගැනීම හසුරුවයි, nf_conntrack_pptp සහ nf_nat_pptp. අවසානය පූරණය කිරීමෙන් ඉතිරිය යැපීම් හරහා ඇදේ, එබැවින් මොඩියුල ලැයිස්තුවේ හතරම පෙනෙන්නට ඇත.

පැරණි උපදෙස් 2.6 යුගයේ ip_ උපසර්ගය භාවිත කරයි. එම විධාන කිසිවක් පූරණය නොකර ක්‍රියාත්මක වන ලෙස පෙනිය හැක, එබැවින් පිටවීමේ තත්ත්වය නොව පූරණය කළ ලැයිස්තුව පරීක්ෂා කරන්න.

ඒවා පූරණය කර තිබීම තවදුරටත් ප්‍රමාණවත් නොවේ. Linux 4.7 සිට net.netfilter.nf_conntrack_helper sysctl පෙරනිමියෙන් 0 වන අතර, එය නව ප්‍රවාහ සඳහා ස්වයංක්‍රීය සහායක පැවරීම අක්‍රිය කරයි. රවුටරයක සියලු මොඩියුල තිබිය හැකි අතර කිසිවක් පරිවර්තනය නොකරයි. නැවත මොඩියුල ලැයිස්තුව බැලීමට පෙර ඵලදායී අගය පරීක්ෂා කරන්න.

එක්කෝ ස්වයංක්‍රීය පැවරීම ගෝලීයව නැවත සක්‍රිය කරන්න, එසේ නැතහොත් සහායකය අවශ්‍ය ප්‍රවාහවලට සම්බන්ධ කර අනෙක් සියල්ල නිදාගන්නට හරින්න:

iptables -t raw -A PREROUTING -p tcp --dport 1723 -j CT --helper pptp

දෙවන විකල්පය කැමති වන්නේය. එය සම්පූර්ණ රවුටරයේම ස්වයංක්‍රීය පැවරීම නැවත සක්‍රිය කිරීම වෙනුවට හැසිරීම PPTP ගමන් වලට සීමා කරයි.

පෝට් නොමැති ප්‍රොටොකෝලයක් විවෘත කිරීම

1723 ට අවසර දෙන ෆයර්වෝල් රීතියක් 47 ප්‍රොටොකොලය ගැන කිසිවක් නොකියයි. firewalld හි සේවාලාභියා දෙසට මුහුණලා ඇති කලාපයේ ප්‍රොටොකොලයට අවසර දෙන්න. සාමාන්‍ය iptables හි ආදාන දාමයේ gre ප්‍රොටොකොලය පිළිගන්න.

පසුව දෙපැත්තෙන්ම ග්‍රහණය කරන්න. සේවාලාභියාගෙන් පිටවන පැකට් සඳහා පිළිතුරු නොපැමිණෙන්නේ නම් ආපසු මාර්ගය පෙරීමකට ලක්ව ඇත, එය ප්‍රතික්ෂේප කළ සත්‍යාපන දත්තවලට වඩා වෙනස් දෝෂයකි.

සම්බන්ධ වූ පසු, ප්‍රමාණ සීමාව

GRE ශීර්ෂයක් ඇතුළු කරයි, එහි ඇති PPP තවත් එකතු කරයි, එබැවින් ක්‍රියාකාරී සබැඳියක් 1500 ට වඩා බෙහෙවින් අඩු MTU වාර්තා කරයි. කුඩා පිළිතුරු පූරණය වන අතර විශාල ඒවා එල්ලී යයි, එය පළමු ගැටලුව විසඳෙන මොහොතේ පෙනෙන දෙවන, අදාළ නොවන ගැටලුවක් ලෙස පෙනේ.

සේවාලාභියාගේ PPP අනුවර්තකයේ MTU කියවා රවුටරයේම ගණනය සමඟ එය සමපාත කරන්න යමක් ක්‍රියා කරන තෙක් සංඛ්‍යා අඩු කිරීම වෙනුවට. සම්පූර්ණ ප්‍රමාණයේ පැකට් පිටවී කිසිවක් ආපසු නොඑන්නේ නම් එය පරිවර්තනයට නොව එම සීමාවට යොමු කරයි.

මාර්ගය අලුත්වැඩියා කිරීම පරිශීලකයා නැවත වැඩට ගෙන එයි, එය PPTP හොඳ තේරීමක් නොකරයි. MS-CHAPv2 සහ RC4 බොහෝ කලක සිට යල් පැන ඇත, එබැවින් මොඩියුල පූරණය තාවකාලික නිවැරදි කිරීමක් ලෙස සලකා නඩත්තු කරන ප්‍රොටොකොලයකට මාරු වීමට සැලසුම් කරන්න.