Waa kee marxaladda VPN ee guuldareysatay: IPsec, xakamaynta L2TP ama aqoonsiga PPP

Waad beddeshay furaha sirta ah waxna ma dhaqaaqin, sababtoo ah cilladdu waligeed ma aheyn PPP. L2TP/IPsec wuxuu soo sheegaa hal khalad isku xirka shan wareejin oo aad u kala duwan, wareejin kastana waxay leedahay hagaajin u gaar ah. Dib u shaqee: raadi marxaladda ugu dambeysey ee guuleysatay oo beddel oo keliya waxa ka dambeeya. Nidaamka hoose wuxuu kaloo go'aamiyaa caddaynta aad marka hore ururiso.

Ka jawaab afar su'aalood si nidaamsan

Ku qasab isku day cusub, sababtoo ah macaamiisha qaarkood waxay sii muujiyaan khaladka hore ilaa borofaylka la gooyo oo dib loo xiro. Kadib ka jawaab tan: ma jirtay urur amni IPsec, ma soo muuqdeen isku xir xakamayn L2TP iyo wicitaan, PPP ma gaadhay go'aan aqoonsi, IPCP-na ma siiyay macmiilka cinwaan? Mayada ugu horreysa waa marxaladda aad hagaajinayso. Wax kasta oo ka dambeeya lama tijaabin, sidaas darteed magac isticmaale la diiday waxba ma caddeeyo marka aan urur waligiis jirin.

Isku waafaji saacadaha labada daraf ka hor barbardhigga. Isku day dib u tijaabo oo nadiifiyay IPsec kuna guuldareystay PPP wuxuu u muuqdaa hal guuldarro marka macmiilku kaliya muujiyo fariinta ugu dambeysey oo diiwaanka serverku weli hayo isku daygii hore. Akhri calaamadda waqtiga, ma aha safka ugu codka weyn.

Marka aad haysato kaliya sawirka shaashadda isticmaalaha, ku tiirsanaaw kala qaybinta ugu jaban: fure si wadaag ah loo qaybsaday oo khaldan iyo xl2tpd aan waligiis jawaabin waxay soo saaraan isla qoraalka daaqadda Windows, laakiin mid wuxuu u baahan yahay sir labada daraf lagu beddelay kan kalena wuxuu u baahan yahay daemon la bilaabay ama xeer firewall serverka laftiisa. Qalab dhexdhexaad ah ma tuuri karo 1701 gudaha marka IPsec qaab gaadiid uu duubay, sidaas darteed ha raadin shaandheyn waddo aan jirin.

Waxa lakab kastu dhab ahaan leeyahay

IPsec wuxuu ilaaliyaa baakadaha labada lammaane dhexdooda; L2TP waxay qaaddaa fadhi PPP gudaha waddadaas la ilaaliyay, taasina waa sababta RFC 3193 u qeexay qaab gaadiid halkii uu ka ahaan lahaa tunnel u gaar ah. Calaamadda macmiilku waxay tidhaahdaa L2TP, sidaas darteed tunnelka iyo gelitaanku waxay u muuqdaan hal hab. Ma aha: isku xirka xakamaynta L2TP wuxuu aqoonsadaa darafyada tunnelka halka diritaanku uu awood u yeesho, PPP-na si gooni ah ayuu u aqoonsadaa isticmaalaha CHAP, PAP ama MS-CHAPv2 iyadoo loo eegayo siyaasadda serverka.

Kala qaybintan waxay sharraxdaa labada sir ee dadku si joogto ah u khaldaan. Fure si wadaag ah loo qaybsaday wuxuu aqoonsadaa lammaanaha IPsec. Magac isticmaale iyo furaha sirta ah waxay isticmaalaha u aqoonsadaan PPP. Dib u qorista sirta la wadaagay ee Windows borofayl ku aqoonsada shahaadooyin waxba kama beddelo marxaladda guuldareysata, beddelka furaha sirta ah ee PPP-na ma bixin karo kanaal la ilaaliyay oo maqan. Isla is-xakamayntaas waxay khuseysaa hubinta aqoonsiga: ha damin aqoonsiga lammaanaha ama xaqiijinta shahaadada si aad tunnel u hesho, sababtoo ah markaas waxa isku xira waddada, ma aha lammaanaha.

Aqoonsigu sidoo kale ma aha dhammaadka PPP. Marka isticmaalaha la aqbalo, IPCP wuxuu ka wada hadlaa cinwaanka macmiilka iyo xulashooyinka DNS iyo WINS ee serverku diyaar u yahay inuu bixiyo. Macmiilku wuu dhaafi karaa CHAP ama MS-CHAPv2 welina ku dhammaan karaa cinwaan la'aan, taas oo ah guuldarro gudaha PPP ma aha dhibaato waddo. L2TP saafi ah oo aan IPsec lahayn waa ansax oo lama ilaalin, sidaas darteed isku xir guuleystay waligiis ma caddeeyo in gaadiidka la ilaaliyay; hubi waxa serverku dalbado, ma aha calaamadda macmiilka.

Go'aanso marxaladda ugu horreysa ee maqan

Akhri shaxda shayga ugu horreeya ee maqan, bidix ilaa midig. Tiirka midig waa shaqada kaliya ee qiimo leh waqtigaas; wax kasta oo bidixdiisa ah horey ayaa la caddeeyay, dib u tijaabintuna waxay gubtaa daaqadda hakadka iyada oo aan macluumaad ku darin.

Saddex saf ayaa mudan digniin. Safka 1701 waa halka macaamiisha Windows ee ka dambeeya NAT ay inta badan ku dhacaan: ururku wuu dhammaystirmaa, kadib waxba ma yimaado, sababtuna waa duubid ma aha fure sir ah oo xun. Safka IPCP waa kan si khaldan loo akhriyo dhibaato waddo, sababtoo ah Windows wuxuu cinwaanka maqan ku duubaa khaladka 720 calaamadda tray-na waxay kaliya tidhaahdaa isku xirku wuu guuldareystay; guuldarradaas waxay fadhidaa aqoonsiga kadib iyo waddo ka hor. Safka ugu dambeysey gabi ahaan ma aha guuldarro IPsec, in kasta oo calaamaddu tidhaahdo go'ay.

Amarrada kala sooca lakabyada

Server Linux oo strongSwan ku shaqeeya swanctl --list-sas wuxuu taxaa ururrada la aasaasay iyada oo la raacayo aqoonsiga lammaanaha, ipsec statusall-na wuxuu daboolaa martigeliyayaasha hore ee strongSwan iyo libreswan. Hoosta ip xfrm state wuxuu muujiyaa ururrada dhabta ah ee kernelka, halka ss -lunp | grep 1701 caddeeyo halka xl2tpd ku xiran yahay. Ku socodsii xl2tpd -D hore si aad u aragto isku xirka xakamaynta iyo wicitaannada, oo shid debug pppd gudaha /etc/ppp/options.xl2tpd si aad u aragto habka la soo bandhigay iyo jawaabta.

Marka diiwaannadu muujiyaan aqoonsi guuleystay, su'aasha xigta waa in IPCP dhammaaday. Hubi in ip range qaybta [lns default] ee /etc/xl2tpd/xl2tpd.conf weli leedahay cinwaanno bannaan, iyo in /etc/ppp/options.xl2tpd dhab ahaan qaado ms-dns iyo ms-wins haddii macmiilku filayo. Barkad dhammaatay iyo xulasho DNS maqan waxay si kala duwan uga muuqdaan xarigga: kan hore wuxuu macmiilka kaga tagaa cinwaan la'aan iyo 720, kan dambe wuxuu bixiyaa cinwaan laakiin ma bixiyo xalliyaha, sidaas darteed magacyadu way guuldareystaan halka ping cinwaannada cayriin uu shaqeeyo. Midkoodna laguma hagaajiyo dib u gelinta furaha sirta ah.

Macmiilka dhinaciisa, plugin-ka L2TP ee NetworkManager wuxuu wada hadalka pppd ku qoraa joornaalka, sidaas darteed journalctl -u NetworkManager -b wuxuu inta badan kala soocaa tunnel kor, aqoonsi la diiday iyo tunnel gabi ahaan ma jiro. Windows Get-VpnConnection wuxuu soo sheegaa dejinta aqoonsiga dhabta ah ee borofaylka, dhacdooyinka RasClient ee hoos yimaada Application ee Event Viewer-na waxay magacaabaan qaybta guuldareysatay. Marka daaqaddu aad u mugdi badan tahay, shid netsh ras set tracing * enable.

Duubistu waxay u baahan tahay hal taxaddar. IPsec qaab gaadiid, UDP 1701 gudaha waa sir la qariyay, sidaas darteed duubis ku taal interface-ka dibadda waxay muujinaysaa ESP, ama UDP 4500 NAT-T hoostiisa, L2TP gabi ahaan ma muujinayso. 1701 maqan duubis waa wax la filayay oo ma aha caddayn deked xiran; fiiri haddii tirsannada ESP ama 4500 ay dhaqaaqaan.

NAT, MTU iyo waddooyin: halka stack-ku kaa marin habaabiyo

NAT wuxuu jebiyaa malo-awaal ka hor inta wax la aqoonsanin. ESP waa borotokool IP u gaar ah, sidaas darteed qalabka turjuma waxa uu tuuraa haddii lammaanuhu aanay duubin; UDP 4500 ayaa taas bixiya. Server Windows oo isagu ka dambeeya router guri ama irid NAT daruuro, marxaladda IPsec waxay ku guuldareysataa khaladka 789 ilaa AssumeUDPEncapsulationContextOnSendRule lagu dejiyo 2 hoosta furaha PolicyAgent oo mishiinku dib u soo kaco, guuldarraduna way sii ahaanaysaa mid aan laga sooci karin deked xiran. Macaamiisha ka dambeeya NAT way fudud yihiin: marka serverku leeyahay cinwaan dadweyne, NAT-T UDP 4500 ayay qaaddaa qiimahaasna ma ku lug leh.

Marka PPP kor yahay, MTU dalool madow leh wuxuu ekaysiiyaa tunnel dhintay: baakadaha yaryar way gudbaan, gacan qaadista TLS ama soo dejinta boggu way hakataa, macmiilka-na waxaa laga yaabaa inuu weli muujiyo xiran. Hoos u dhig MTU interface-ka ama ku adkee MSS iridda ka hor inta aadan serverka eedayn. Waddo tunnel kala qaybsan ayaa ah khiyaanada kale; subnet lagu riixay maaskar qaldan wuxuu tunnelka ka tagaa caafimaad qaba iyo hal barnaamij aan la gaari karin. Magac martigeliye gaar ah wuxuu ku daraa boodhkiisa: haddii weydiintu ka baxdo xalliyaha maxalliga ah, magacu ma xalliyo ka hor inta aan waddo walba la tijaabin.

Liiska hubinta ka hor inta aadan taaban aqoonsiga

Shaqee liiska si nidaamsan oo joogso shayga ugu horreeya ee guuldareysta. Tallaabo kastaa way jaban tahay, mid kastaana wuxuu meesha ka saaraa hal fasalka beddello.

1. Xaqiiji in ururku labada daraf ka jiro, lagu waafajiyay aqoonsiga lammaanaha ma aha calaamadda xiran.
2. Xaqiiji in UDP 1701 uu gaadho xl2tpd; urur aan wicitaan lahayn waa guuldarradaada.
3. Akhri go'aanka PPP, haddii uu aqoonsadayna natiijada IPCP, ka hor inta aadan u malayn in furaha sirta ahi khaldan yahay.
4. Hadda kaliya dib u geli aqoonsiga qaabka serverku filayo, sababtoo ah horgalaha domain wuxuu beddelaa akoonka.
5. Haddii ay weli guuldareysato, duub labada daraf oo leh calaamado waqti oo is waafajisan oo barbardhig marxalad kasta.

Joogsiga tallaabada labaad waxay ka dhigan tahay dhibaato waddo ama duubid, beddel fure sirna ma dhaqaajin karo. Joogsiga tallaabada saddexaad waxay ka dhigan tahay diiwaanku horey ayuu u magacaabay habka ama barkadda cinwaanka ee la hagaajinayo. Si kastaba, beddelka xiga waa mid aad caddayn karto, oo waxaad joojinaysaa ku wareegga dejinta aysan waligood ku lug lahayn.