PPTP wuu xirmayaa ka dibna wuu ku dhegaa gadaasha Linux NAT: kaaliyaha GRE

Qof ayaa 1723 u gudbiya, macmiilku wuu gaaraa serverka, xaqiijinta ayaa bilaabata, ka dibna wax walba way istaagaan iyada oo aan khalad jirin. Gabagabada dabiiciga ah waa password khaldan, sidaas darteed password-ka saddex jeer ayaa dib loo qoraa. Gudbintu way fiicnayd iyo aqoonsiga ayaa fiicnaa. Waxa jabay waa borotokool labaad oo aan gudbintu waligeed daboolin, iyo qiimaha caadiga ah ee kernel-ka oo si aamusan u joojiyay inuu wax ka caawiyo.

Gudbintu waligeed ma ahayn dhibaatada

Qaanuunka gudbinta dekedda wuxuu qeexaa taraafikada TCP ama UDP. Ma qeexi karo xamuul badhaha kulan u guura borotokool kale oo IP ah, PPTP-na waa sidaas oo kale.

Taasi waa sababta isku xirka uu u muuqdo mid caafimaad qaba ilaa daqiiqada uu dhego. Qaybta qaanuunka dekeddu maamuli karo way guulaysatay, qaybta uusan maamuli karin waa qaybta guuldarraystay.

TCP kontoroolka, GRE xogta

Wicitaanka waxaa lagu gorgortamaa TCP 1723. Marka uu istaago, xamuulku wuxuu u guuraa GRE, borotokoolka IP 47, kaas oo aan haba yaraatee qaadin lambarrada dekedda. Qaanuun ku tiirsan dekedaha ma hayo wax uu isbarbardhigo.

Waxa GRE qaado waa aqoonsi wicitaan oo ku yaal madaxiisa, NAT turjubaankuna waa inuu goobtaas si joogto ah dib ugu qoraa labada jiho, haddii kale labada qaybood ee kulanku way isku raaci waayaan. Hal jiho oo dib loo qoray iyo tan kale oo aan ahayn waxay abuurtaa kulan xaqiijiya ka dibna tuura kasta packet xogta. Taasi waa qaabka calaamaddu: guul, ka dib aamusnaan.

GRE qaawan oo aan PPTP lahayn uma baahna dib u qoris sidan, sidaas darteed tunnel GRE caadi ah wuxuu ka shaqayn karaa router ku guuldarraysta macmiilka PPTP isla dariiqaas.

Afar module iyo sysctl oo damiyay

Laba module ayaa maamula qaabaynta, nf_conntrack_proto_gre iyo nf_nat_proto_gre. Laba kale ayaa maamula aqoonsiga wicitaanka, nf_conntrack_pptp iyo nf_nat_pptp. Soo rarista kan ugu dambeeya waxay soo jiidataa kuwa kale iyada oo loo marayo ku-tiirsanaan, sidaas darteed liiska module waa inuu muujiyaa afarta oo dhan.

Tilmaamaha hore waxay isticmaalaan horgale ip_ oo ka yimid xilligii 2.6. Amarradaas waxay u muuqan karaan inay socdaan iyagoo aan waxba soo rarin, sidaas darteed hubi liiska la soo raray halkii aad ka eegi lahayd xaaladda bixidda.

In la soo raro ma ku filna hadda. Laga bilaabo Linux 4.7 sysctl net.netfilter.nf_conntrack_helper waa 0 si caadi ah, taas oo damisa qoondaynta kaaliyaha otomaatigga ah ee qulqulka cusub. Router wuxuu yeelan karaa module kasta oo weli waxba ma turjumo. Hubi qiimaha dhabta ah ka hor intaadan mar kale eegin liiska module.

AMA mar kale daal qoondaynta otomaatigga ah guud ahaan, ama ku xidh kaaliyaha qulqulka u baahan oo ka tag wax kasta oo kale:

iptables -t raw -A PREROUTING -p tcp --dport 1723 -j CT --helper pptp

Ikhtiyaarka labaad ayaa la doorbidayaa. Wuxuu ku xaddidaa habdhaqanka taraafikada PPTP halkii uu mar kale ka shidi lahaa qoondaynta otomaatigga ah routerka oo dhan.

Furitaanka borotokool aan dekedo lahayn

Qaanuunka dab-damiska ee oggolaanaya 1723 waxba kama sheegayo borotokoolka 47. firewalld, u oggolow borotokoolka aagga ku wajahan macmiilka. iptables caadi ah, aqbal borotokoolka gre silsiladda gelitaanka.

Ka dib labada dhinac ka duub. Packet-yada ka baxa macmiilka iyada oo aan jawaabo soo gaarin waxay ka dhigan tahay in dariiqa soo noqodka la sifeeyay, taasina waa cillad ka duwan aqoonsiga la diiday.

Ka dib markuu xirmo, xadka cabbirka

GRE wuxuu geliyaa madax, PPP gudaha ku jiraana wax dheeraad ah ayuu ku daraa, sidaas darteed xiriir shaqeeya wuxuu soo sheegaa MTU aad uga hooseeya 1500. Jawaabaha yaryar way soo rarmaan kuwa waaweyna way dhegaan, taas oo u muuqata dhibaatada labaad oo aan la xiriirin oo soo baxda isla daqiiqada dhibaatada koowaad la xalliyo.

Akhri MTU-ga adaptarka PPP ee macmiilka oo la jaanqaad xisaabta routerka laftiisa halkii aad hoos u dhigi lahayd lambarrada ilaa wax shaqeeyo. Packet-yada cabbir buuxa ee baxa oo aan wax soo noqon waxay tilmaamayaan xadkaas ee ma aha turjumaadda.

Dariiqa hagaajintiisu wuxuu isticmaalaha ku celiyaa shaqada, mana ka dhigto PPTP doorasho wanaagsan. MS-CHAPv2 iyo RC4 waxay muddo dheer duugoobay, sidaas darteed u qaado soo rarista module-ka sixid ku meel gaar ah oo qorshee u guurid borotokool la ilaaliyo.