L2TP/IPsec way shaqeynayso: kala saar IPsec, xaqiijinta tunnel-ka ama gelitaanka PPP

Saddex shay ayaa is-xaqiijiya gudaha hal xiriir L2TP/IPsec, oo midkood oo keliya ayaa ku lug leh qofka waca. IPsec wuxuu caddeeyaa dhammaadka tunnel-ka, xiriirka kontoroolka L2TP ayaa mar kale caddeyn kara lamaanayaasha sirteeda, ka dibna PPP wuxuu caddeeyaa akoonka isticmaalaha gudaha fadhiga. Guuldarro tallaabo kasta waxay u ekaataa khalad gelitaan guud ee daaqadda macmiilka oo si gebi ahaan kale uga muuqata log-ga server-ka. Mar tallaabooyinka si taxane ah oo joogso tan ugu horreysa ee guuldareysta, sababtoo ah tallaabo kasta oo ka hooseysa tan aan la tijaabin ayaa iyadna aan la tijaabin.

Saddex tallaabo oo xaqiijin, saddex aqoonsi oo kala duwan

IPsec wuxuu caddeeyaa yaa leh dhammaadka, isagoo isticmaalaya fure hore loo wadaagay ama shahaado. Aqoonsigaas waxaa leh mishiinada ama albaabada, marnaba ma leh qofka kumbuyuutarka ag fadhiya. Marka lamaanayaashu ay ku heshiin kari waayaan tallaabadan, wax pakad L2TP ah lama wadaagto.

Xiriirka kontoroolka L2TP wuxuu ku dari karaa is-dhaafsiga labaad oo gooni ah oo ah caqabad-jawaab, oo uu hoggaamiyo sir la wadaagay oo labada dhammaadba ay qasab ku yihiin inay haystaan.

RFC 2661 wuxuu xaqiijintaas xiriirka kontoroolka ka dhigayaa mid ikhtiyaari ah, taas oo sharraxaysa sababta isla khaladka uu calaamado kala duwan ugu keeno laba server. Baahinta aan waligeed dejinin sirta tunnel-ka ayaa gebi ahaan ka boodda tallaabada; tan dejisay hal dhinac oo keliya ayaa guuldareysata ka hor inta aan PPP la soo bandhigin. Kadib PPP wuxuu isticmaalaha ku xaqiijiyaa PAP, CHAP ama MSCHAPv2 oo magaca u dhiibaa kaydka akoonnada oo noqon kara mid maxalli ah, gudaha chap-secrets ama RADIUS. Furaha sirta ah ee khaldan waqtigaas weli wuxuu kuu reebayaa tunnel shaqeeya iyo fadhi guuldareystay.

Akhri barta joogsiga ka hor inta aadan wax ka beddelin dejinta

Ku bilow ipsec --version si aad u ogaato in soo-saarka xaaladdu uu ka yimid strongSwan ama Libreswan. Kadib akhri log-ga server-ka, ma aha daaqadda macmiilka, sababtoo ah server-ku wuxuu diiwaangeliyaa tallaabada diidday.

Hal saf ayaa inta badan xalliya tikit-ka: cabasho IKE ama soo jeedin waa tallaabada koowaad, farriin ku saabsan xiriirka kontoroolka waa tallaabada labaad, iyo diidmo habka PPP ama akoonka waa tallaabada saddexaad. Koobi safkaas tikit-ka oo ku dar shaabaddii waqtiga. Qiyaasidda dhinaca macmiilka waxay luminaysaa caddaynta kaliya ee aad hore u haysato.

Ka fogee agabka furaha iyo furayaasha sirta ah dhejiskaas; magaca tallaabada ayaa hagaya shaqada, fure hore loo wadaagay oo soo baxayna wuxuu tikit-ka dib u furaa natiijooyin ka sii xun.

Tallaabada koowaad: IPsec ma leeyahay xidhiidh?

Ku socodsii ipsec statusall strongSwan ama ipsec whack --status Libreswan oo raadi xidhiidh carruur ah oo la aasaasay oo tirakoobkiisu aan eber ahayn. ip xfrm state wuxuu muujinayaa aragtida kernel-ka labadaba. Lammaane SA oo rakibban oo tirakoobkiisu kor u kacayo waxay ka dhigan tahay tallaabada koowaad waa dhammaatay oo waad sii gudbi kartaa.

Maqnaanshaha gebi ahaan ah ee xidhiidhka waxay tilmaamaysaa cinwaanka lammaanaha, qaybta soo jeedinta ama furaha hore loo wadaagay, marmarna qalabka dib u qora UDP 500 balse tuura UDP 4500. Xidhiidhka la aasaaso oo dhawr ilbiriqsi kadib libdha waa inta badan isku-dhac ku yimaada muddada nolosha ee labada dhammaad, ma aha dhibaato aqoonsi. Hubi in labada dhinacba ay liis galiyaan isla soo jeedinta sireynta iyo hash ka hor inta aadan wax dib u qorin. Haddii kale, furena marnaba ma shaqeeyo.

Joogso inta xidhiidhku maqan yahay. Wax ka beddelka xulashooyinka PPP waqtigaas waxba ma beddelo oo wuxuu qariyaa cilladda dhabta ah qofka xiga.

Tallaabada labaad: xiriirka kontoroolka L2TP ma is-xaqiijiyay?

Marka IPsec uu kaco, la soco daemon-ka L2TP xiriir kontorool oo gaara xaalad la aasaasay, maadaama PPP uusan ka hor intaas bilaaban karin. Diidmo ku timid xiriirka kontoroolka waxay ka dhigan tahay sirta tunnel-ku way kala duwan tahay dhammaadka, ama hal dhammaad ayaa dalbaya sir aan kan kale waligiis dirin. Macmiilladu waxay inta badan muujiyaan hal goob oo leh calaamadda shared secret, oo inta badan ka tirsan IPsec ee ma aha L2TP. Buuxinteedu ma dejinayso sirta tunnel-ka, nadiifinteeduna ma daminayso.

Haddii aanay dhinacna dejinin sirta tunnel-ka, ka bood tallaabadan oo u qaado guuldarrada xiriirka kontoroolka dhibaato gaaritaan. Xaqiiji in UDP 1701 uu gaaro daemon-ka iyo in labada dhammaadba ay ku heshiiyaan isla duubista. Qaanuunka dab-demiska ee loo qoray mid ka mid ah labada shuruudood waa sababta caadiga ah ee xiriirka badh ka furma.

Kaliya fadhiga bilaaba gorgortanka PPP ayaa dhab ahaan ka gudbay tallaabada tunnel-ka.

Tallaabada saddexaad: PPP ma diidayaa akoonka?

Guuldarrada PPP dibadda ka muuqataa si kale: tunnel-ka waa la aasaasay, fadhigu waa bilaabmay, daemon-kuna wuxuu diiwaangeliyaa guuldarro habka xaqiijinta ama diidmo akoon. Akhri habka lagu magacaabay farriintaas. PAP iyo CHAP waxay ugu guuldareystaan sababo kala duwan, server-ka diida midkoodna wuxuu diidi doonaa macmiil soo bandhiga kaliya taas.

Server Linux ah, baadh faylka xulashooyinka ee daemon-ku siiyo PPP, badanaa /etc/ppp/options.xl2tpd, oo xaqiiji hababka la aqbalay iyo halka akoonnada lagu xalliyo. Magac ku jira RADIUS laakiin aan ku jirin faylka sirta maxalliga ah si nadiif ah ayuu ugu guuldareystaa oo wuxuu u eg yahay fure sir ah oo khaldan. Kadib hubi in macmiilku soo bandhigayo hab uu server-ku aqbalo, ee ma aha mid ka xoog badan oo server-ku diido inuu ka gorgorto. Beddelka furaha hore loo wadaagay si loo hagaajiyo tallaabadan waxay lumisaa galab waxna ma beddelo.

Marka fadhigu ugu dambeyntii kaco, qoondaynta cinwaannada, DNS iyo waddooyinka weli lama hubin, mid kastaana si aamusnaan ah ayuu ugu guuldareystaa qaabkiisa. Saddexda lakab si gooni ah ugu hay qoraalladaada: fure sax ah oo akoon khaldan leh had iyo jeer wuu guuldareystaa, hagaajinta hal lakabna marnaba ma hagaajiso mid kale.