Maxaa PPTP iyo L2TP/IPsec u joogsadaan ka hor weydiinta magaca isticmaalaha?

Maqnaanshaha weydiinta magaca isticmaalaha waa hadiyad cabbirid: PPP wali ma bilaaban, sidaas darteed akoonka, furaha sirta ah iyo siyaasadda domainka wali lama weydiin. Xiriirka PPTP ama L2TP/IPsec macmiilku wuxuu weyddiistaa aqoonsiga kaliya marka tunnelku jiro oo serverku bilaabay fadhi PPP. Wax kasta oo ku dhici kara guuldarra ka hor wakhtigaas waa gaadiid, isweydaarsi furaha ama dejinta tunnelka, taas oo ah aag aad uga yar «VPN-ku wuu xumaaday».

Weydiin maqan waxay ciladdu ku koobtaa saddex tallaabo

Qor tallaabada ugu dambeysa ee muuqatada ku guuleysatay, sababtoo ah mid kastaa wuxuu leeyahay milkiile iyo xallin kala duwan. Qiyaasidda dejinta akoonka inta aad ku xayiran tahay laba tallaabo ka hor waa sida duhurnimo lumo.

Macmiilka waqtigiisu dhamaado isagoo aan weydiin lahayn waligiis ma helin isku-xir IPsec, sidaas darteed ciladdu waxay ku jirtaa IKE ama in paketkaagu gaaro gateway-ga. Kan sheegta inuu hubinayo aqoonsiga kadibna dhaca wuxuu gaaray meel ka sii fog marka loo eego farriinta. Weydiin ay ku xigto diidmo waa xaqiijinta PPP, taasina waxay ku qoran tahay maqaal akoonka ah, ma aha kan.

Tallaabada koowaad: borotokoolka uu dab-damiska si aamusan u tuuro

PPTP waxay u baahan tahay TCP 1723 kanaalka kontoroolka iyo borotokool IP 47 wadada xogta, labaduna si gooni ah ayay u safraan. Shabakado badan ayaa gudbiya 1723 oo tuura borotokoolka 47, taas oo abuurta tunnel gorgortan sameeya kadibna waxba qaadin. Router sameeya NAT wuxuu sidoo kale u baahan yahay marin taageera GRE, mana jirto waddo gelitaan IPv6 kaliya oo PPTP qaadi karta hab kasta.

L2TP oo IPsec dul saaran wuxuu isticmaalaa dekedda 500 IKE iyo dekedda 4500 ee ka gudbidda NAT, kadib wuxuu duubaa taraafikada L2TP lafteeda 1701 gudaha, halka ESP qaado xamuulka la ilaaliyo marka isku-xirku jiro. Oggolow labada dekedood kontorool laakiin ma aha ESP, waxaadna heli doontaa si sax ah calaamadda cinwaanka: horumar muuqata, kadib macmiil dhintay ka hor wada-hadal aqoonsi kasta. Ka tijaabinta hotspot taleefan waa qaab jaban oo lagu kala saaro dhibaatada macmiilka iyo dhibaatada wadada.

Tallaabada labaad: fure aan fure ahayn, soo-jeedin aan la soo bandhigin

Furaha hore loo wadaagay ee aan is waafajin wuxuu si degdeg ah oo aamusan ugu guuldarraystaa, qaabka caadiga ahna waa fure shaashadda ka muuqda mid sax ah laakiin qaada jajab khad la dhejiyay ama bannaan ugu dambeeya. Macmiilka Linux wada-hadalku maaha daruuri isha runta: plugin-ka L2TP ee NetworkManager wuxuu sirta ku hayaa faylal /etc/ipsec.d/ hoostooda, faylka hore ee xiriir kasta oo /etc/ipsec.secrets wali ku daro ayaa la isticmaali doonaa halkii faylka aad hadda qortay. Koobi faylkaas meel ammaan ah, ka saar wadada lagu daro, kadibna furaha gacanta ku qor mar kale.

Qeybta kale ee tallaabadan waa soo-jeedinta. Labada daraf waa inay ku heshiiyaan isla qaybta algorithm-ka wajiga 1 — sir-gelin, daacadnimo iyo kooxda Diffie-Hellman — iyo isbeddellada ESP ee u dhigma wajiga 2, haddii kale isku-xirku ma dhasho. Gateway bixiya kaliya 3DES, SHA1 iyo MODP1024 wuxuu diidi doonaa macmiil loo habeeyay algorithm-ka xoogga badan, logkiisuna wuxuu magacaabaa isbeddelka la diiday. Logku wuxuu magacaabaa ismaandhaafka haddii aad akhrido halkii aad adeegga mar kale dib u bilaabin lahayd. Halkii aad ka koobi lahayd xariijin algorithm-ka mawduuc shirka, weydii gateway-ga isbeddellada uu dhab ahaan ka wada-hadli doono: ike-scan oo loo jeediyay cinwaankiisa wuxuu soo celiyaa isbeddellada uu ka wada-hadli doono. Haddii soo-jeedinta kaliya tahay xogta qarsoon oo siyaasaddaadu aysan u oggolaan, sixiddu waxay ku qoran tahay gateway-ga, ma aha hoos u dhigidda macmiilka.

Windows gudahiisa furaha iyo habka xaqiijintu waxay ku nool yihiin borofaylka VPN, ismaandhaafkuna wuxuu soo baxaa ka hor weydiinta aqoonsiga ee ma aha kadib. Halka qaatahu yahay Windows Server, xaqiiji in doorka gelitaanka fog la rakibay, in shahaadadu ay la socoto magaca macmiilku ku xirmo, iyo in aan shaandhayn deked ah ka cidhiidhi ahayn borotokoolka kore.

Tallaabada saddexaad: tunnelku wuu jiraa PPP-na ma bilaabmo

Marka IKE dhammaado oo weydiintu wali soo bixin, ha eegin dab-damiska ee eeg daemon-ka tunnelka. L2TP wuxuu u baahan yahay wax UDP 1701 dhegeysta — Linux xl2tpd ama kl2tpd, Windows adeegga gelitaanka fog — adeeg la rakibay laakiin la joojiyay wuxuu ka muuqdaa dhinaca macmiilka si la mid ah paket la tuuray. Hubi dhegeystaha ka hor inta aadan mar kale furin sharciyada aad hore u xaqiijisay. Kadib PPP waa inuu gorgortamaa, isweydaarsiga LCP ee ugu horreeyaana waa meesha guuldarra aamusan inta badan ku soo degto.

Hal dabin oo tallaabadan ku jirta gabi ahaan maaha cilad shabakadeed: Windows wuxuu oggolaadaa kaliya hal xiriir oo nooc VPN ah isku mar, sidaas darteed isku dayga labaad wuxuu soo celiyaa khalad 937, «xiriir kale oo noocan ah ayaa la isticmaalayaa». Waa sharci maxalli ah, dariiqa laga wareegayana waa qalab kale, nooc tunnel kale, ama wadaagista xiriirka kaliya ee hore u jiray.

Akhri logka nidaamka tallaabooyinka halkii aad qiyaasi lahayd

Jooji macmiilka, mar kale bilaab, oo akhri qaybaha nidaamka ay log qoraan. Taas oo ah marka hore daemon-ka IPsec — strongSwan ama Libreswan, ipsec --version wuxuu sheegaa kee — kadib daemon-ka L2TP, kadib pppd. Qayb kasta oo ugu dambeysay qortay ka hor guuldarra waxay calaamadeysaa tallaabada la baarayo, sababtoo ah wax kasta oo nidaamka ka dib yimaada gabi ahaan ma shaqeyn.

Ku xaqiiji xiriir cusub ee ma aha fadhi la kaydiyay, sababtoo ah macmiilka ka dib u xirma kaydka wuxuu dhaafi karaa qaybo isweydaarsiga oo soo saari karaa natiijo duugoobay. Xaqiiji gaaritaanka, isweydaarsiga furaha, tunnelka iyo PPP mid mid, nidaamkaas. Markaas weydiinta maqan waxay joojineysaa inay sir ahaato oo waxay noqoneysaa sadarrada labaad ee liis laga shaqeyn karo. Liiskaas oo kale waa waxa aad siiso kooxda shabakadda, kuwaas oo haddii kale laga codsan lahaa inay dab-damiska baaraan cilad ku nool daemon aan la bilaabin.