Server PPTP oo ka dambeeya router guri: marka hore hagaaji 1723 iyo GRE

PPTP oo ka dambeeya router guri wuxuu ku guuldareystaa laba siyaabood oo aan xiriir la lahayn, isku darkooduna wuxuu lumiyaa habeen dhan. Mid ka mid ah cilladaha waa bannaan ku jira gudbinta: router-ku wuxuu dhaafi TCP 1723 oo tuuraa IP protocol 47, sidaas darteed macmiilku wuxuu ku xanniban yahay khaladka 619. Midda kale waa dhibaatada cabbirka: tunnel-ku wuu kacaa, wuu xaqiijiyaa, ka dibna wuu qabtaa marka baakad cabbir buuxa leh ay tahay inay gudubto. In la ogaado midkee ayaad haysataa waa tallaabada ugu horreysa ee dhabta ah; inta kalena waxay isbarbardhigtaa waxa router-kaagu muujin karo, ma aha nooca calaamadda ugu fiican.

Laba qaade, oo mid keliya ayaa leh deked

PPTP wuxuu u kala qaybsamaa laba qaade: xiriir kontorool oo ku yaal TCP 1723, iyo fareemamka PPP oo lagu duubay GRE la ballaariyay, taas oo ah IP protocol 47. GRE ma leh lambar deked, sidaas darteed qaanuun loo qoray gudbinta dekedda 1723 ma dabooli karo, si kasta oo web-ka ugu magacaabo goobtaas. Router guri wuxuu caadi ahaan bixiyaa sanduuq lagu magacaabo gudbinta PPTP halkii qaanuun protocol, sanduuqaasna wuxuu qabtaa laba shaqo: wuxuu u oggolaadaa protocol 47 inuu dhex maro dab-bakhtiirka, wuxuuna baraa NAT sida loo raaco qulqulka GRE. Router Linux ah shaqooyinkaas waa modulal gaar ah iyo qaanuuno gaar ah, taas darteed gudbin nus-qoran ayaa weli soo saarta kanaal kontorool oo shaqeeya. Ogaado qaybtee nus ah ayaa joogta ka hor inta aanad wax beddelin.

Dab-bakhtiirka serverka laftiisuna waa inuu u oggolaadaa protocol 47 cinwaanka router-ka. Dab-bakhtiir marti oo kaliya aqbala 1723/tcp wuxuu dib u soo saaraa khaladka 619 gudaha LAN, taas oo ka dhigta gudbin jabtay iyo qaanuun marti jabtay inay isku mid u muuqdaan.

sudo iptables -S FORWARD | grep -i gre
sudo nft list ruleset | grep -i gre
lsmod | grep -E 'nf_conntrack_proto_gre|nf_nat_proto_gre'

Haddii moduladu maqan yihiin, ku shub sudo modprobe nf_conntrack_proto_gre nf_nat_proto_gre oo shubidda ka dhig mid joogto ah, maxaa yeelay dib-u-bilaabasho ilooba caawiyaha ayaa tunnel shaqeeya dib ugu celisa khaladka 619. Qaanuunka gudbinta waa inuu aqbalaa protocol 47 kaliya dhanka cinwaanka serverka, ma aha LAN oo dhan. Qeexitaanka RFC 2637 wuxuu kala soocaa wadada kontoroolka iyo xogta, sidaas darteed ma jiro hal shaashad gudbin deked oo si buuxda u qeexda PPTP.

Sanduuqa gudbinta ama qaanuun protocol cad

Sanduuqa gudbinta ee kaliya fura dab-bakhtiirka ayaa ka dhow jawi sax ah marka la barbardhigo ALG oo dib u qora aqoonsiga wicitaanka. Qaybta dab-bakhtiirka waa la saadaalin karaa, maxaa yeelay protocol 47 waa la aqbalaa ama la tuuraa, tirsiyayaashuna waxay sheegaan midkee. Qaybta dib-u-qorista waa meesha ay soo saarayaashu ku kala duwan yihiin, maxaa yeelay aqoonsiga wicitaanka PPTP waa mid tunnel kasta, NAT-na wax ka beddela waa inuu raaco wicitaan kasta oo uu taabto. Marka hal macmiil xirmaan oo laba aan xirmin, ALG waa tuhunkii ugu horreeyay.

Qaanuunka NAT goobta ee 1723 ayaa sidoo kale leh dhibaatada lahaanshaha. Haddii qaanuun duug ah uu weli 1723 u diraa marti joojiyay serverka, baakaduhu waxay ku dhacaan deked xiran oo adeegga PPTP ee router-ka laftiisu wuu joojiyaa jawaabta, taas oo loo akhriyaa sidii guuldarro dab-bakhtiir laakiin dhab ahaantii waa bartilmaameed duug ah. Akhri qaanuunka iyo goobtiisa ka hor inta aanad ku darin mid labaad. Router-yada iyagu dhammeeya PPTP, qaanuunka WAN wuxuu la tartamaa adeegga dhexdiisa ku jira, sidaas darteed u dooro hal milkiilaha 1723 iyo protocol 47.

Laba macmiil oo ka dambeeya isla NAT waa kiiska kala sooca gudbin fudud iyo mid caqli leh. Gudbinta protocol 47 iyada oo aan dib loo qorin aqoonsiga wicitaanka ayaa caadi ahaan ka wanaagsan caawiyaha isku dayaya inuu saxdo.

Cabbir tunnel-ka ka hor inta aanad router-ka eedayn

PPTP wuxuu yareeyaa culayska faa'iidada leh, yaraantaasna waa xisaab, ma aha sir. Baakad kasta oo tunnel waxay qaaddaa madax IP dibadda ah, madax GRE la ballaariyay, madax PPP iyo, haddii sir la isticmaalayo, madax MPPE. Marka wadadu aysan qaadi karin fareemka soo baxa, baakadaha yaryar way gudbaan, gelitaanku wuu dhammaadaa, kulankaana wuu istaagaa markii ugu horreysay ee wareejin fayl ama gacan-qabasho TLS ay dirto baakad cabbir buuxa leh.

Xisaabi lambarka halkii aad qiyaasi lahayd. GRE la ballaariyay wuxuu qaataa 8 bayt, PPP wuxuu qaataa 4, MPPE wuxuu qaataa 4, madaxa IP dibaddana wuxuu qaataa 20, sidaas darteed tunnel-ku wuxuu cunaa 36 bayt ka hor wax culays ah. PPPoE WAN ku dhammaada 1492, PPP MTU ugu weyn ee gala waa 1492 laga jaray 36, taas oo ah 1456. Ku dhig mtu iyo mru qiimahaas doorsoomayaasha PPP oo dib u tijaabi ping aan kala qaybin.

ping -M do -s 1464 198.51.100.7
grep -E '^(mtu|mru)' /etc/ppp/options.pptpd

Ping-ku wuxuu cabbiraa wadada, ma aha tunnel-ka: 1464 bayt oo culays ah iyo 28 bayt oo madaxyada IP iyo ICMP ah waxay si sax ah u buuxiyaan fareem 1492 bayt. Haddii ping-kaas guuldareysto, hoos u dhig lambarka ilaa uu gudbo ka dibna 36 ka jar natiijada. Tunnel MTU oo ka sarreeya xadka wadada wuxuu abuuraa qabatin aan lahayn hal khad log oo sheegaya cabbirka.

PPTP, L2TP/IPsec ama OpenVPN isla router

Isla router-ku wuxuu qaadi karaa mid kasta oo ka mid ah saddexda tunnel caadi ah, farqiguna waa waxa ay tahay inuu muujiyo. PPTP wuxuu u baahan yahay laba qaanuun oo ku jira laba lakab oo kala duwan. L2TP oo IPsec ka sarreeya wuxuu u baahan yahay UDP 500 iyo 4500 is-dhaafsiga furaha iyo, haddii NAT-T aanu qaadin, protocol 50 culayska. OpenVPN wuxuu u baahan yahay hal deked UDP oo aan caawiye u baahnayn.

Tiirka L2TP si otomaatig ah uma wanaagsana GRE. ESP waa IP protocol 50 oo isna ma leh deked, sidaas darteed router dhibaato kala kulma protocol 47 ayaa laga yaabaa inuu dhibaato kala kulmo protocol 50 isla sabab. NAT-T wuxuu u jiraa in ESP lagu duubo UDP 4500 gudaha, marka labada daraf ay taageeraanna qaanuunka protocol 50 wuu noqdaa mid aan loo baahnayn. Taasi waa sifo darafyada, ma aha sanduuqa PPTP ee router-ka. Xaqiiji nooca duubista ee macmiilku dhab ahaantii wada xaajooday ka hor inta aanad qaanuuno u qorin labadaba.

OpenVPN waa doorashada ugu yar qaybaha dhaqaaqa ee dhanka router-ka. Hal deked UDP, hal gudbin, ma jiro caawiye raadraaca xiriirka iyo ma jiro dib-u-qoris aqoonsiga wicitaanka. Beddelku waa macmiil u baahan in la rakibo halkii dialer dhexdiisa ku jira, mararka qaarkoodna taasi waa sababta kaliya ee PPTP ugu sii jiro wada hadalka.

Waxa la hagaajinayo iyo waxa la beddelayo

Hagaajinta gudbinta iyo MTU waxay ku siinaysaa tunnel shaqeeya, ma aha mid ay tahay inaad haysato. Xaqiijinta MSCHAPv2 ee PPTP ayaa muddo sanado ah la weerari karaa, tunnel shaqeeyana wuxuu rarayaa aqoonsiyo si offline ah loo soo ceshan karo. Haddii qalabka fog uu kari karo L2TP/IPsec ama OpenVPN, u qaado hagaajinta tallaabo ku meel gaar ah oo taariikh leh.

Go'aanku wuxuu ku xiran yahay waxa darafka fog taageero iyo inta ay tahay in habayntu socoto. Qalab duug ah oo kaliya ku hadla PPTP wuxuu helaa hagaajinta; wax kasta oo macmiil lagu rakibi karo waa la rarayaa.

Ka hor inta aanad xidhin tikidhka, xaqiiji in macmiilku u adkaysto wareejin weyn oo aan ahayn kaliya gelitaan, iyo in router-ku wali hayo qaanuunka protocol 47 dib-u-bilaabasho ka dib. Tunnel dhaafa hal nuqul fayl oo dhinta ka dib cusboonaysiinta firmware ee xigta weligiis ma dhammaanin.