VPN тунел се никада не повезује: где се пакети заиста заустављају

Клијент стално покушава поново, дневник се зауставља пре завршетка руковања, а сервер не бележи баш ништа. Тај образац скреће пажњу са акредитива на путању: нешто између два краја одбија да преноси протокол који је тунелу потребан. Утврдите где се пакети заустављају пре него што дотакнете било коју од две конфигурације, јер филтриран протокол и погрешна лозинка дају исту љубазну грешку у већини клијената. Тестови су поређани по цени, најјефтинији први.

Докажите где се саобраћај зауставља

Снимајте истовремено на излазном интерфејсу клијента и на серверу. Упоредите шта је отишло са оним што је стигло и забележите у ком смеру се разлика појављује.

Ништа на серверу значи да путања или први NAT одбацује саобраћај, док доласци без одговора указују на заштитни зид на серверу или на повратну руту која не постоји. Рутер који често терминира тунеле обично не води користан дневник, па снимак постаје запис. Запишите одредишни порт и број протокола, јер оба квара изгледају исто у дијалогу клијента.

PPTP умире без протокола 47

PPTP носи контролу на TCP 1723, а податке унутар GRE, који је IP протокол 47, а не број порта. Прослеђивање само 1723 даје класичан исход: веза се аутентификује, а затим утихне, јер не постоји правило за протокол који носи корисни терет. Клијент то не може разликовати од одбијене лозинке, зато снимак мора доћи пре измена конфигурације.

Пропуштање ради у супротном смеру од долазног прослеђивања, а фирмвер довољно често користи једну ознаку за обоје да збуни свакога. На Linux клијенту локални заштитни зид може одбацити GRE много пре него што рутер уопште учествује, па протокол 47 треба сопствено правило и conntrack помоћник мора бити учитан. ufw на Ubuntu држи та правила у датотеци before, јер обична allow правила не могу изразити број протокола. Након тога поново учитајте заштитни зид уместо да рестартујете машину.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP и IPsec иза два NAT-а

L2TP унутар IPsec-а треба UDP 500 за размену кључева, UDP 4500 када се открије NAT и ESP као протокол 50. Сваки од њих се филтрира независно, па правило које дозвољава један не доказује ништа о друга два. Два рутера у низу преводе сваки пакет двапут и крајње тачке се више не слажу око тога шта је договорено.

Пребаците спољни модем у bridge режим или искључите NAT на унутрашњем рутеру, како би јавна адреса стигла до уређаја који терминира тунел. Где ниједно није могуће, тунел се мора иницирати из унутрашњости границе двоструког NAT-а, а не тамо терминирати.

Мреже оператера и дељење адреса

WAN адреса унутар 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 или 100.64.0.0/10 значи да рутер нема јавну адресу и ниједно долазно прослеђивање са интернета не може до њега доћи. NAT на нивоу оператера додатно филтрира протоколе које не очекује, а GRE је честа жртва на мобилним везама. Упоредите WAN адресу на самом рутеру, а не адресу коју страница за проверу пријављује за клијента иза њега.

Покретање истог рутера на жичаној линији раздваја налаз о оператеру од грешке у конфигурацији једним тестом. Где оператер одбија протокол, преостају опције други транспорт на 443 или тунел инициран изнутра.

Прочитајте листу слушалаца пре него што затворите портове

Алармантан скен портова често је само скуп функција које се испоручују укључене. Пописшите слушаоце, повежите сваки сокет са функцијом, а затим искључите функцију уместо да блокирате порт, како се два приказа не би разишла.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

Подразумевани параметри SoftEther-а су добар пример: TCP 443, 992 и 5555, при чему функције L2TP/IPsec и DNS тунела додају сопствене сокете. Искључивање тих функција уклања слушаоце уместо да их скрива, а провера са спољног хоста каже вам пушта ли оператер порт уопште. Слушалац који одговара локално и даље може бити затворен узводно, па упоредите рутерову сопствену WAN адресу са оним што пријављује спољна услуга.