ගෘහ රවුටරයක් පිටුපස PPTP සේවාදායකය: පළමුව 1723 සහ GRE නිවැරදි කරන්න
ගෘහ රවුටරයක් පිටුපස PPTP ධාවනය කරන්න: TCP 1723, IP ප්‍රොටෝකෝලය 47, යාමන කොටුව සහ MTU ගණනය, සහ L2TP හෝ OpenVPN වඩා හොඳ ගනුදෙනුව වන විට.
ගෘහ රවුටරයක් පිටුපස PPTP අසම්බන්ධ ආකාර දෙකකින් අසාර්ථක වේ, ඒවා මිශ්‍ර කිරීමෙන් සම්පූර්ණ සවසක් නාස්ති වේ. එක් අසාර්ථකත්වයක් වන්නේ යැවීමේ පරතරයකි: රවුටරය TCP 1723 ගමන් කරවා IP ප්‍රොටෝකෝලය 47 ඉවත දමයි, එබැවින් සේවාලාභියා දෝෂ 619 මත රැඳී සිටී. අනෙක ප්‍රමාණ ගැටලුවකි: ටනලය ඉහළ යයි, සත්‍යාපනය වේ, පසුව සම්පූර්ණ ප්‍රමාණයේ පැකට්ටුවක් ගමන් කළ යුතු විට කැටි වේ. මේවායින් කුමක් ඔබට ඇත්දැයි සොයා ගැනීම පළමු සැබෑ පියවරයි; ඉතිරිය ඔබේ රවුටරයට ප්‍රකාශ කළ හැකි දේ සංසන්දනය කරයි, කුමන සන්නාමය හොඳද යන්න නොවේ.
වාහක දෙකක්, ඉන් එකකට පමණක් තොටුවක් ඇත
PPTP වාහක දෙකකට බෙදේ: TCP 1723 මත පාලන සම්බන්ධතාවයක්, සහ විස්තාරිත GRE තුළ ඔතා ඇති PPP රාමු, එනම් IP ප්‍රොටෝකෝලය 47. GRE සතුව තොටු අංකයක් නැත, එබැවින් 1723 තොටුව යැවීම ලෙස ලියා ඇති නියමයකට එය ආවරණය කළ නොහැක, වෙබ් අතුරුමුහුණත එම ක්ෂේත්‍රයට කුමන නමක් දුන්නත්. ගෘහ රවුටරයක් සාමාන්‍යයෙන් ප්‍රොටෝකෝල නියමයක් වෙනුවට PPTP යාමනය නමැති කොටුවක් ලබා දෙයි, එම කොටුව කාර්යයන් දෙකක් කරයි: ගිනිපවුර හරහා ප්‍රොටෝකෝලය 47 ගමන් කරවයි, සහ NAT ට GRE ප්‍රවාහය ලුහුබැඳීම උගන්වයි. ලිනක්ස් රවුටරයක එම කාර්යයන් වෙන වෙනම මොඩියුල සහ වෙන වෙනම නියම වේ, එබැවින් අඩක් වින්‍යාසගත යාමනයක් තවමත් ක්‍රියාකාරී පාලන නාලිකාවක් නිපදවයි. කිසිවක් වෙනස් කිරීමට පෙර කුමන අඩක් ඇත්දැයි සොයා ගන්න.
සේවාදායකයේම ගිනිපවුරද රවුටර ලිපිනයෙන් ප්‍රොටෝකෝලය 47 ට ඉඩ දිය යුතුය. 1723/tcp පමණක් පිළිගන්නා සත්කාරක ගිනිපවුරක් LAN ඇතුළතින් දෝෂ 619 නැවත නිපදවයි, එය කැඩුණු යැවීමක් සහ කැඩුණු සත්කාරක නියමයක් එකම ලෙස පෙනීමට සලස්වයි.
sudo iptables -S FORWARD | grep -i gre
sudo nft list ruleset | grep -i gre
lsmod | grep -E 'nf_conntrack_proto_gre|nf_nat_proto_gre'මොඩියුල නොමැති නම්, sudo modprobe nf_conntrack_proto_gre nf_nat_proto_gre සමඟ ඒවා පූරණය කර පූරණය ස්ථිර කරන්න, මන්ද සහායකයා අමතක කරන නැවත ඇරඹීමක් ක්‍රියාකාරී ටනලය නැවත දෝෂ 619 බවට පත් කරයි. යැවීමේ නියමය ප්‍රොටෝකෝලය 47 සේවාදායක ලිපිනය වෙත පමණක් පිළිගත යුතුය, සම්පූර්ණ LAN නොවේ. RFC 2637 අර්ථ දැක්වීම පාලන සහ දත්ත මාර්ග වෙන් කරයි, එබැවින් කිසිදු තනි තොටු යැවීම් තිරයක් PPTP සම්පූර්ණයෙන් විස්තර නොකරයි.
යාමන කොටුවක් හෝ පැහැදිලි ප්‍රොටෝකෝල නියමයක්
ගිනිපවුර පමණක් විවෘත කරන යාමන කොටුවක් ඇමතුම් හඳුනාගැනීම් නැවත ලියන ALG එකකට වඩා නිවැරදි එකට සමීපය. ගිනිපවුරු අඩක් අනාවැකි කළ හැකිය, මන්ද ප්‍රොටෝකෝලය 47 පිළිගැනේ හෝ ඉවත දමයි, ගණන් කරන්නන් කුමක්දැයි පවසයි. නැවත ලිවීමේ අඩක් වන්නේ නිෂ්පාදකයින් වෙනස් වන තැනය, මන්ද PPTP හි ඇමතුම් හඳුනාගැනීම් ටනලයකට වේ සහ ඒවා සංස්කරණය කරන NAT එකක් ස්පර්ශ කරන සෑම ඇමතුමක්ම ලුහුබැඳිය යුතුය. එක් සේවාලාභියෙක් සම්බන්ධ වී දෙදෙනෙක් නොවන විට, ALG පළමු සැකකරු වේ.
1723 සඳහා ගමනාන්ත NAT නියමයකටද හිමිකාරිත්ව ගැටලුවක් ඇත. පැරණි නියමයක් තවමත් සේවාදායකය නතර කළ සත්කාරකයකට 1723 යවන්නේ නම්, පැකට් වසා ඇති තොටුවකට වැටේ, රවුටරයේම PPTP සේවාව පිළිතුරු දීම නවතී, එය ගිනිපවුරු අසාර්ථකත්වයක් ලෙස කියවුනද සැබවින්ම එය පැරණි ඉලක්කයකි. දෙවැන්නක් එකතු කිරීමට පෙර නියමය සහ එහි ගමනාන්තය කියවන්න. PPTP තමන්ම අවසන් කරන රවුටරවල WAN නියමය අන්තර්ගත සේවාව සමඟ තරඟ කරයි, එබැවින් 1723 සහ ප්‍රොටෝකෝලය 47 සඳහා එක් හිමිකරුවෙකු තෝරන්න.
එකම NAT පිටුපස සේවාලාභීන් දෙදෙනෙක් යනු සරල යැවීමක් දක්ෂ එකකින් වෙන් කරන අවස්ථාවයි. ඇමතුම් හඳුනාගැනීම් නැවත නොලියා ප්‍රොටෝකෝලය 47 යැවීම සාමාන්‍යයෙන් ඒවා නිවැරදි කිරීමට උත්සාහ කරන සහායකයෙකුට වඩා හොඳින් හැසිරේ.
රවුටරයට දොස් පැවරීමට පෙර ටනලය මනින්න
PPTP ප්‍රයෝජනවත් උපරිභාරය කුඩා කරයි, එම කුඩා වීම අභිරහසක් නොව අංක ගණිතයකි. සෑම ටනල් පැකට්ටුවක්ම බාහිර IP ශීර්ෂයක්, විස්තාරිත GRE ශීර්ෂයක්, PPP ශීර්ෂයක් සහ සංකේතනය සමඟ MPPE ශීර්ෂයක් රැගෙන යයි. මාර්ගයට ප්‍රතිඵල රාමුව රැගෙන යා නොහැකි විට, කුඩා පැකට් ගමන් කරයි, පිවිසීම සම්පූර්ණ වේ, ගොනු මාරුවක් හෝ TLS අත්වැල් ගැසීමක් සම්පූර්ණ ප්‍රමාණයේ පැකට්ටුවක් යවන පළමු අවස්ථාවේදී සැසිය නතර වේ.
අනුමාන කරනවාට වඩා අංකය ගණනය කරන්න. විස්තාරිත GRE සඳහා බයිට් 8ක්, PPP සඳහා 4ක්, MPPE සඳහා 4ක්, සහ බාහිර IP ශීර්ෂය සඳහා 20ක් ගත වේ, එබැවින් ටනලය ඕනෑම උපරිභාරයකට පෙර බයිට් 36ක් අනුභව කරයි. 1492කින් අවසන් වන PPPoE WAN එකක ගැලපෙන විශාලතම PPP MTU යනු 1492 අඩු 36, එනම් 1456. PPP විකල්පවල mtu සහ mru එම අගයට සකසා ඛණ්ඩනය නොකරන පිංගයකින් නැවත පරීක්ෂා කරන්න.
ping -M do -s 1464 198.51.100.7
grep -E '^(mtu|mru)' /etc/ppp/options.pptpdපිංගය මාර්ගය මනිනවා මිස ටනලය නොවේ: බයිට් 1464ක උපරිභාරය සහ බයිට් 28ක IP සහ ICMP ශීර්ෂ 1492 බයිට් රාමුවක් හරියටම පුරවයි. එම පිංගය අසාර්ථක නම්, ගමන් කරන තෙක් අංකය අඩු කර ප්‍රතිඵලයෙන් 36 අඩු කරන්න. මාර්ග සීමාවට වඩා ඉහළින් සකසන ලද ටනල් MTU ප්‍රමාණය සඳහන් කරන කිසිදු ලොග් පේළියක් නොමැතිව කැටි වීම ඇති කරයි.
එකම රවුටරයේ PPTP, L2TP/IPsec හෝ OpenVPN
එකම රවුටරයට සාමාන්‍ය ටනල තුනෙන් ඕනෑම එකක් රැගෙන යා හැක, වෙනස වන්නේ එය ප්‍රකාශ කළ යුතු දේය. PPTP ට වෙනස් ස්තර දෙකක නියම දෙකක් අවශ්‍ය වේ. IPsec මත L2TP ට යතුරු හුවමාරුව සඳහා UDP 500 සහ 4500 අවශ්‍ය වේ, NAT-T එය රැගෙන නොයන නම් උපරිභාරය සඳහා ප්‍රොටෝකෝලය 50 අවශ්‍ය වේ. OpenVPN ට එක් UDP තොටුවක් ප්‍රමාණවත් වන අතර කිසිදු සහායකයක් අවශ්‍ය නොවේ.
| Tunnel | What the router must allow | Practical note |
|---|---|---|
| PPTP | TCP 1723 and IP protocol 47 | Two transports, two rules |
| L2TP/IPsec | UDP 500, UDP 4500, protocol 50 without NAT-T | ESP has no port either |
| OpenVPN | UDP 1194 or a chosen TCP port | Single rule, no helper |
L2TP තීරුව ස්වයංක්‍රීයව GRE ට වඩා මිත්‍රශීලී නොවේ. ESP යනු IP ප්‍රොටෝකෝලය 50 වන අතර එයටද තොටුවක් නැත, එබැවින් ප්‍රොටෝකෝලය 47 සමඟ දුෂ්කරතා ඇති රවුටරයකට එම හේතුව නිසාම ප්‍රොටෝකෝලය 50 සමඟද දුෂ්කරතා ඇති විය හැක. NAT-T පවතින්නේ ESP එක UDP 4500 තුළ ඔතා දැමීමටය, දෙකෙළවරම එයට සහාය දෙන විට ප්‍රොටෝකෝලය 50 නියමය අනවශ්‍ය වේ. එය කෙළවරවල ගුණාංගයකි, රවුටරයේ PPTP කොටුවේ නොවේ. දෙකටම නියම ලිවීමට පෙර සේවාලාභියා සැබවින්ම කුමන ආවරණයට එකඟ වීදැයි තහවුරු කරන්න.
OpenVPN යනු රවුටර පැත්තේ අවම චලනය වන කොටස් ඇති විකල්පයයි. එක් UDP තොටුවක්, එක් යැවීමක්, සම්බන්ධතා නිරීක්ෂණ සහායකයක් නැත සහ ඇමතුම් හඳුනාගැනීම් නැවත ලිවීමක් නැත. මාරුව වන්නේ අන්තර්ගත ඩයලරයක් වෙනුවට ස්ථාපනය කළ යුතු සේවාලාභියෙකි, PPTP සංවාදයේ රැඳී සිටීමට බොහෝ විට ඇති එකම හේතුව එයයි.
කුමක් අලුත්වැඩියා කර කුමක් ප්‍රතිස්ථාපනය කරන්නද
යැවීම සහ MTU අලුත්වැඩියා කිරීමෙන් ක්‍රියාකාරී ටනලයක් ලැබේ, තබා ගත යුතු එකක් නොවේ. PPTP හි MSCHAPv2 සත්‍යාපනය වසර ගණනාවක් තිස්සේ ප්‍රහාරයට ලක් විය හැකි අතර, ක්‍රියාකාරී ටනලයක් නොබැඳි ලෙස ප්‍රතිසාධනය කළ හැකි අක්තපත්‍ර ගෙන යයි. දුරස්ථ උපාංගයට L2TP/IPsec හෝ OpenVPN ධාවනය කළ හැකි නම්, අලුත්වැඩියාව දිනයක් සහිත තාවකාලික පියවරක් ලෙස සලකන්න.
තීරණය රඳා පවතින්නේ දුරස්ථ කෙළවර කුමකට සහාය දෙනවාද සහ විධිවිධානය කොපමණ කලක් පවතින්නට ඕනෑද යන්න මතය. PPTP පමණක් කතා කරන පැරණි උපාංගයට අලුත්වැඩියාව ලැබේ; සේවාලාභියෙකු ස්ථාපනය කළ හැකි සියල්ල සංක්‍රමණය වේ.
ටිකට්ටුව වැසීමට පෙර සේවාලාභියා පිවිසීමක් නොව විශාල මාරුවක් ඉවසන බවත්, නැවත ඇරඹීමෙන් පසුවත් රවුටරය තම ප්‍රොටෝකෝලය 47 නියමය තබා ගන්නා බවත් තහවුරු කරන්න. එක් ගොනු පිටපතක් පසුකර ඊළඟ ඈප්වෙයාර් යාවත්කාලීනයෙන් පසු මිය යන ටනලයක් කිසි දිනක සම්පූර්ණ වී නැත.