L2TP aan IPsec lahayn Linux: xl2tpd, pppd iyo NAT

L2TP cadi waa PPP ku jira gal, oo wax kale ma aha. Waxay qaaddaa firamyadaada; ma sirto iyaga oo ma caddeyso cidda fadhiya dhinaca kale, taasina waa sababta ku dhawaad hirgelin kastaa IPsec hoos u dhigto. Sababo daacad ah oo loo isticmaalo nooca qaawan weli waxaa jira: shaybaad, tallaabo guur, ama xiriir hore ugu jira waddo kale oo la ilaaliyay.

Haddii aad sii socoto, qor digniintaas qoraalka naqshadeynta oo halkaas ku dhaaf. Waxa soo socda waa dariiqa hawlgalka ee aan ku isticmaalo martigeliyayaasha qoyska Debian iyo RHEL: faylkee baa mas'uul ka ah waxa, MTU-da ka hortagta xannibaadda caadiga ah, iyo xeerarka gudbinta ee tunelka qiimo leh ka dhigaya.

Saddex fayl ayaa shaqada qaybsan

xl2tpd wuu joojiyaa xiriirka kontoroolka oo fadhi kasta wuxuu u gudbiyaa daemon PPP, sidaas darteed habaynta waxay u qaybsan tahay laba barnaamij oo aan waligood akhrin faylasha midba midka kale. Dhageystuhu wuxuu ku nool yahay /etc/xl2tpd/xl2tpd.conf, gudaha qaybta [lns default] oo magacaabta barkadda cinwaannada ip range, dhinaca serverka local ip, iyo u gudbinta PPP pppoptfile. Daar require authentication = yes, uga tag length bit iyo flow bit daaran, oo dooro barkad aan wax kale oo martigeliyaha ku jira isticmaalin.

Siyaasadda PPP waxay ka tirsan tahay faylka ay xulashadaas magacaabto, sida caadiga ah /etc/ppp/options.xl2tpd: auth, diidmooyin pap, chap iyo mschap, require-mschap-v2, MTU iyo MRU 1460, iyo cinwaan DNS oo macmiilku gaari karo marka xiriirku kor u kaco. Aqoonsigu waa mar kale fayl saddexaad, /etc/ppp/chap-secrets, halkaas oo goobta labaad ay tahay inay la socoto magaca qaybta LNS oo goobta afaraad waxay xidhi kartaa cinwaan gaar ah oo barkadda ka mid ah.

Sababta tunelku u xidhmo oo u istaago

Firam Ethernet 1500 byte ah ma galo waddo hore u qaadanaysa byte kuwa madaxyadeeda. Madaxa IPv4 ee dibadda wuxuu qaataa 20, UDP 8, iyo madaxa L2TP qiyaastii 12, taasoo uga tagta 1460 PPP iyo culayskiisa. Inaad lambarkaas yar ku dhawaaqdo PPP waa waxa ka hortagta in baakadaha waaweyn ay kala go'aan ama si aamusan meel dhexe ugu dhacaan.

Calaamaddu waa tunel u eg caafimaad ilaa gaadiid dhab ah yimaado: pingyada iyo fariimaha kontoroolka way gudbaan, nuqul faylku wuu istaagaa, waxba logga kuma sharraxaan. Hoos u dhig MTU iyo MRU labadaba labada dhinac. Hagaajinta macmiilka oo kaliya waxay badanaa u beddelaa istaag adag mid goosgoos ah, taas oo cilad-baadhistu ka sii xun tahay.

Hal deked ayaa qaadda laba wada hadal

UDP 1701 wuxuu hoos yimaadaa labada qaybood ee borotokoolka, oo xaqiiqadaas keliya waxay jabisaa xeerar firewall ka badan qayb kasta oo kale oo habaynta ah. Marka hore waxaa yimaada codsiga bilowga xiriirka kontoroolka iyo jawaabtiisa; codsiga fadhiga iyo xaqiijinta ku xiga ma dhisaan wax ka badan lammaanaha aqoonsiga. Kadib PPP ayaa la wareegaa: kontoroolka xiriirka, ka dib aqoonsiga, ka dib borotokoolka kontoroolka IP si cinwaannada loo heshiiyo. Marxalad kastaa waxay leedahay erayadeeda logga, oo midkoodna isku magacaabo fashil L2TP.

Akhriska duubista si sax ah habkaas waxay kuu sheegtaa marxaladda fashilantay, oo fashilka aqoonsiga PPP laguma hagaajiyo tafatirka xl2tpd. Dekedda la wadaago waxay sharraxdaa fashil kale oo caadi ah: xeerka oggolaada kaliya baakadaha ugu horreeya ee qulqulka ayaa u oggolaada fadhiga inuu dhismaan kadibna wuxuu xannibaa gudbinta. U oggolow 1701 wada hadalka oo dhan, labada jiho.

Tunelka faa'iido leh ka dhigid: gudbin iyo NAT

Fadhi keligiis wuxuu gaaraa kaliya serverka. Gelitaanka internetka macmiilku wuxuu u baahan yahay gudbin, xeer NAT oo barkadda ku yaal xiriirka sare, iyo DNS oo macmiilku dhab ahaan weydiin karo marka xiriirku kor u kaco. Barkaddu waa inay sidoo kale ka fogaan toddobaadka LAN, haddii kale jawaabaha loo diray macaamiisha waxaa lagu gaarsiiyaa gudaha halkii tunelka dib loogu riixi lahaa.

Serverka, daar gudbinta sysctl -w net.ipv4.ip_forward=1, turjun barkadda iptables -t nat -A POSTROUTING -s 10.44.0.0/24 -o eth0 -j MASQUERADE, kadib aqbal gaadiidka tunelka ee baxa xeer FORWARD loogu talagalay -i ppp0 -o eth0 iyo gaadiidka soo noqda xeerka muraayadda oo lagu daray -m state --state RELATED,ESTABLISHED. Xeerarkan ka dhig kuwo waara dib-u-kici doonka dhexdiisa, maxaa yeelay server soo noqda iyaga la'aan wuxuu u eg yahay si sax ah habayn L2TP jabtay.

Gaaritaanka LAN-ka serverka laftiisu waa hawl kale: ku dar waddo soo noqod ah oo barkadda ah routerka LAN, ama proxy ARP serverka. In macaamiisha lagu qariyo NAT gadaashiisa marka wax LAN-ka ku jira ay tahay inay si toos ah ula hadlaan waxay kaliya qorsheynaysaa fadhi cilad-baadhis labaad mustaqbalka.

Waxa stacka qaawan aanu samayn, iyo sida loo xaqiijiyo

Qayb ka mid ah stackhan ma sirto firamyada PPP, oo wax ku jira ma aqoonsado dhinaca fog sida serverka aad dhab ahaan dooratay. MS-CHAPv2 wuxuu ka ilaaliyaa isweydaarsiga aqoonsiga dhageyste kaliya fiirinaya, laakiin weeraryahan ku jira waddada weli wuu faragelin karaa fadhiga. Macmiilka asalka ah ee Windows wuxuu bixiyaa L2TP kaliya IPsec la socda, markaa u xisaabso Linux, firmware routerada iyo macaamiisha dhinac saddexaad inay yihiin saaxiibadaada. U qaado habaynta qaawan sida tallaabo cilad-baadhis, weligeed ma aha meesha lagu istaago.

Ku xaqiiji nidaam go'an: orod xl2tpd -D hore, fiiri joornaalka marxaladda PPP, akhri cinwaanka la qoondeeyay ip addr labada dhinac, kadib qabo UDP 1701 si aad u xaqiijiso in xogta socoto marka fadhigu kaco. Haddii afartaasi dhan ay is waafaqaan oo gaadiidku wali fashilmo, khaladku wuxuu ku jiraa marinka, NAT ama MTU, ma aha L2TP laftiisa.