PPTP passthrough oo maqan: hagaajinta khaladka 807 ee VPN-ka Windows

Soo-gudbinta TCP 1723 inta badan waxay nadiifisaa qaybta koowaad ee PPTP oo qaybta kale ka tagtaa jaban, sidaas darteed Windows weli waxay soo celisaa khaladka 807 marka la isku dayo. Dareenka xiga waa in lagu daro qaanuun loogu talagalay dekedda 47, waana tallaabada lumisa duhur: GRE waa lambar borotokool oo ku jira madaxa IP, ma aha deked miis soo-gudbin uu la jaanqaadi karo. Ilaa router-ku uu gudbiyo borotokoolka 47 oo uu ku xiro isla wicitaanka, tunnel-ku ma bilaaban karo. Qaybaha hoose waxay kala soocaan labada kanaal, kadibna mid mid u tijaabiyaan.

Miiska dekeduhu ma leh saf loogu talagalay lambarka borotokoolka

PPTP waxay isticmaashaa laba wada-hadal oo siyaabo kala duwan u guuldareysta. Tan ku jirta TCP 1723 waxay bilaabaa wicitaanka, waxay gudbisaa macluumaadka xidhiidhka oo ay tirtirtaa marka isticmaaluhu goosto. Dhinaca xogta wuxuu ku socdaa gudaha GRE, kaas oo madaxa IP ku calaamadeeyo lambarka borotokoolka 47, gudaha tunnel-kaasna PPP waxay ka wada-hadashaa xidhiidhka halka MS-CHAPv2 ay hubiso aqoonsiga.

Maadaama GRE uusan qaadin madax gaadiid, ma soo bandhigo dekedo, sidaas darteed qaanuun loo qoray dekedo ma haysto wax uu la jaanqaado. Router soo-gudbiya 1723 wuxuu abuuraa khariidad loogu talagalay fadhiga TCP oo halkaas ku joogsadaa. Firmware-ka maareeya qaybta labaad wuxuu shaqadan u yaqaan PPTP passthrough ama PPTP ALG, firmware-ka qaarna midna ma bixiyo oo waligiis ma xuso farqiga. Calaamadda sanduuqa calaamadaynta ayaa ka muhiimsan tahay in borotokoolka 47 la aqoonsaday iyo in kale.

Waxa Windows soo sheegto marka wadada xogta ay dhinto

Khaladka 807 wuxuu sheegaya in xidhiidhka aan la dhamaystirin karin, taas oo ficil ahaan macneheedu yahay in wicitaanku gaadhay server-ka oo kanaalka xogta uusan soo bixin. Waa go'aan ku saabsan gaadiidka, ma aha go'aan ku saabsan akoonka. Khaladka 691 waa kan tilmaamaya aqoonsiga ama is-khilaaf borotokoolka xaqiijinta, sidaas darteed wuxuu kuu dirayaa meel kale gebi ahaanba.

Ka shaqee gaadiidka ka hor inta aanad taaban erayga sirta ah. Beddelidda aqoonsiga si loo dabacsado 807 waxay meesha ku reebtaa cilladda dhabta ah oo isku dayga xiga ka dhigtaa mid adag in la akhriyo.

Sababta macmiil labaad u jebiyo tunnel shaqeeya

Maadaama aanay jirin dekedo lagu kala garto, qalabka NAT ma kala sooci karo laba macmiil PPTP sida uu u kala sooco laba fadhi HTTPS. Qalabka macaamiisha badiisa sidaas darteed waxay ogolaadaan hal wicitaan PPTP oo ay ku dabagalaan ciwaanka isha. Laptop keligiis shaqeynayay wuu joojiyaa dhamaystirka marka mishiin labaad soo waco, dhanka macmiilka guuldareystaduna waxay u muuqataa mid aan kala sooc lahayn. Qaabkaas waxaa iska leh firmware-ka, waxna beddelaasha profile ma beddelo.

Fiiri miiska xidhiidhka inta labada macmiilba wacayaan. Haddii kaliya martigeliyaha koowaad uu waligiis hayo khariidad, router-ku wuxuu gaadhay xadka uu taageero oo ma jiro deegaan dhanka macmiilka ah oo dhaqaajin kara.

Caddee qaybta guuldareysata

Xaqiiji in TCP 1723 yimaado ka hor inta aanad wax beddelin router-ka, maxaa yeelay jawaabtaas ayaa go'aamisa qaybta aad tijaabinayso. Kuwani ka socodsii macmiilka Windows oo ka gees magacaaga server-ka. Kan koowaad wuxuu daabacaa haddii dekeddu jawaabtay, kan labaadna wuxuu wacaa isagoon wada-hadal lahayn, taas oo isku-dayga soo noqnoqda ka dhigta mid la barbardhigi karo.

Test-NetConnection vpn.example.com -Port 1723
rasdial "Work VPN"

Natiijada run ah ee tijaabada dekeddu waxay ka dhigan tahay in kanaalka xakamaynta uu furan yahay oo GRE uu yahay tuhunka hadhay. Natiijada beenta ah waxay ka dhigan tahay in marin, shaandho ama soo-gudbin jabtay, oo wax beddel GRE ah aan badbaadin karin. Dhinaca xogta waa in laga fiirsadaa meesha la arki karo, dhanka server-ka ama router-ka.

tcpdump -ni any proto 47

U-dhigga Wireshark waa shaandhada bandhiga ip proto 47, taas oo sahlan in loo dhiibo qof aan shell-ka ku qanacsanayn. GRE soo gaadha iyada oo aan wax ka bixin jawaab celin waxay ka dhigan tahay in wadada soo noqodka loo baahan yahay in la hagaajiyo.

Waxa dhab ahaan hagaajiya khaladka

Meesha router-ku uu soo bandhigo dejinta, daali PPTP passthrough, ama si cad u fasax borotokoolka 47 firmware-ka aqbala qaanuunnada. RouterOS qaanuunka forward wuxuu si toos ah u waafajiyaa borotokoolka, taas oo soo-gudbin ku salaysan dekedo aan waligeed samayn karin. Firmware-ka macaamiishu inta badan wuxuu isla go'aanka ku qariyaa sanduuq calaamad, mararka qaarna hoos yimaada dejinta ammaanka halkii soo-gudbinta dekedaha. Haddii xakamayntaas aanay jirin, wax macmiilka ah ma buuxin karo.

/ip firewall filter add chain=forward protocol=gre action=accept
/ip firewall filter print where protocol=gre

Beddelidda PPTP waa ikhtiyaarka kale oo inta badan mid ka jaban. Router-ka VPN-ka isagu dhammeeya wuxuu ka fogaadaa NAT labanlaab ah macaamiisha soo gala, borotokoolka NAT ku salaysan dekedo uu horey u maareeyona uma baahna passthrough gabigiis: OpenVPN oo UDP ku socda, SSTP oo TCP 443 ku socda, ama L2TP/IPsec oo NAT-T ku duubto ESP gudaha UDP 4500. PPTP sidoo kale wuxuu ku tiirsan yahay MS-CHAPv2, kaas oo daciifnimadiisa la diiwaangeliyay ka dhigaan door xun in lagu bilaabo hawlo cusub xitaa khaladka ka dib.

Qor qaanuunka farqiga sameeyay, maxaa yeelay isla goobtaas ayaa la kulmi doonta isla xadka marka isticmaalaha labaad codsado gelitaan. Hagaajinta heerka borotokoolka waxay ku deelan tahay qoraallada shabakadda, halkaas oo injineerka xiga uu eegi doono.