Predor VPN se nikoli ne poveže: kje se paketi v resnici ustavijo

Odjemalec vztrajno poskuša znova, dnevnik se ustavi pred dokončanjem rokovanja, strežnik pa ne zabeleži prav ničesar. Ta vzorec odvrne pogled od poverilnic k poti: nekaj med obema koncema noče prenašati protokola, ki ga predor potrebuje. Ugotovite, kje se paketi ustavijo, preden se dotaknete katere od obeh konfiguracij, ker filtriran protokol in napačno geslo v večini odjemalcev ustvarita enako prijazno napako. Testi so razvrščeni po stroških, najcenejši prvi.

Dokažite, kje se promet ustavi

Snemajte hkrati na izhodnem vmesniku odjemalca in na strežniku. Primerjajte, kaj je odšlo, s tem, kar je prispelo, in zabeležite, v kateri smeri se razlika pokaže.

Nič na strežniku pomeni, da promet zavrača pot ali prvi NAT, medtem ko prihodi brez odgovorov kažejo na požarni zid na strežniku ali na neobstoječo povratno pot. Usmerjevalnik, ki pogosto zaključuje predore, redko vodi uporaben dnevnik, zato posnetek postane zapis. Zapišite ciljna vrata in številko protokola, ker sta obe napaki v pogovornem oknu odjemalca videti enako.

PPTP umre brez protokola 47

PPTP prenaša nadzor po TCP 1723, podatke pa znotraj GRE, ki je protokol IP 47 in ne številka vrat. Preusmerjanje samo 1723 da klasičen izid: povezava se overi in nato utihne, ker za protokol, ki nosi tovor, ne obstaja nobeno pravilo. Odjemalec tega ne more ločiti od zavrnjenega gesla, zato mora posnetek nastati pred spremembami konfiguracije.

Prehod deluje v nasprotni smeri od dohodnega preusmerjanja, in strojna programska oprema dovolj pogosto uporablja eno oznako za oboje, da zmede vse. Na odjemalcu Linux lahko krajevni požarni zid zavrže GRE precej preden je usmerjevalnik sploh udeležen, zato protokol 47 potrebuje svoje pravilo, pomočnik conntrack pa mora biti naložen. ufw v Ubuntuju hrani ta pravila v datoteki before, ker običajna pravila allow ne morejo izraziti številke protokola. Nato znova naložite požarni zid, namesto da bi znova zagnali stroj.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP in IPsec za dvema NAT

L2TP znotraj IPsec potrebuje UDP 500 za izmenjavo ključev, UDP 4500 ob zaznanem NAT in ESP kot protokol 50. Vsak od njih se filtrira neodvisno, zato pravilo, ki dovoli enega, ne dokaže ničesar o drugih dveh. Dva usmerjevalnika v vrsti prevedeta vsak paket dvakrat in konci se ne strinjajo več o tem, kaj je bilo dogovorjeno.

Povežite zunanji modem v most ali izklopite NAT na notranjem usmerjevalniku, da javni naslov doseže napravo, ki zaključi predor. Kjer ni mogoče ne eno ne drugo, je treba predor začeti znotraj meje dvojnega NAT in ga tam ne zaključiti.

Omrežja operaterjev in souporaba naslovov

Naslov WAN v obsegu 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 ali 100.64.0.0/10 pomeni, da usmerjevalnik nima javnega naslova in nobeno dohodno preusmerjanje iz interneta ne more priti do njega. NAT na ravni operaterja dodatno filtrira protokole, ki jih ne pričakuje, GRE pa je na mobilnih povezavah pogosta žrtev. Primerjajte naslov WAN na samem usmerjevalniku, ne naslova, ki ga iskalno mesto navaja za odjemalca za njim.

Zagon istega usmerjevalnika na kabelski liniji z enim testom loči ugotovitev o operaterju od konfiguracijske napake. Kjer operater protokol zavrne, ostanejo možnosti drug prenos na 443 ali predor, začet od znotraj.

Preberite seznam poslušalcev, preden zaprete vrata

Vznemirljivo skeniranje vrat je pogosto le nabor funkcij, ki se dobavi vklopljen. Popišite poslušalce, povežite vsako vtičnico s funkcijo in nato funkcijo izklopite, namesto da blokirate vrata, da se pogleda ne razideta.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

Privzete vrednosti SoftEther so dober primer: TCP 443, 992 in 5555, pri čemer funkciji L2TP/IPsec in predor DNS dodata svoje vtičnice. Izklop teh funkcij odstrani poslušalce, namesto da bi jih skril, in preizkus z zunanjega gostitelja pove, ali operater vrata sploh prepusti. Poslušalec, ki odgovarja krajevno, je lahko še vedno zaprt višje, zato primerjajte lasten naslov WAN usmerjevalnika s tem, kar poroča zunanja storitev.