Tuneli ya VPN haiunganishi kamwe: pakiti zinasimama wapi kwa kweli

Mteja anaendelea kujaribu tena, kumbukumbu inasimama kabla ya makubaliano ya mkono kukamilika, na seva hairekodi kitu chochote. Mfumo huo unaondoa mawazo kutoka kwa vitambulisho na kuelekea kwenye njia: kitu kati ya ncha mbili kinakataa kubeba itifaki ambayo tuneli inahitaji. Amua pakiti zinasimama wapi kabla ya kugusa yoyote ya usanidi huo miwili, kwa sababu itifaki iliyochujwa na neno la siri lisilo sahihi huzalisha kosa lile lile la kirafiki katika wateja wengi. Majaribio yamepangwa kwa gharama, la bei ndogo kwanza.

Thibitisha trafiki inasimama wapi

Nasa kwa wakati mmoja kwenye kiolesura cha kutoka cha mteja na kwenye seva. Linganisha kilichotoka na kilichofika, na andika mwelekeo ambao tofauti inaonekana.

Hakuna kitu kwenye seva humaanisha njia au NAT ya kwanza inatupa trafiki, wakati mawasili bila majibu yanaelekeza kwenye firewall kwenye seva au njia ya kurudi ambayo haipo. Kipanga njia kinachomaliza tuneli mara nyingi hakihifadhi kumbukumbu yenye manufaa, kwa hiyo nasa ndiyo inakuwa kumbukumbu. Andika bandari lengwa na namba ya itifaki, kwa sababu hitilafu zote mbili zinaonekana sawa kwenye mazungumzo ya mteja.

PPTP hufa bila itifaki 47

PPTP hubeba udhibiti kwenye TCP 1723 na data yake ndani ya GRE, ambayo ni itifaki ya IP 47 na si namba ya bandari. Kusambaza 1723 pekee huzalisha matokeo ya kawaida: muunganisho huthibitisha na kisha hunyamaza, kwa sababu hakuna kanuni kwa itifaki inayobeba mzigo. Mteja hawezi kutofautisha hilo na neno la siri lililokataliwa, kwa hiyo nasa lazima itangulie mabadiliko ya usanidi.

Passthrough huenda upande kinyume na usambazaji wa kuingia, na firmware hutumia lebo moja kwa zote mbili mara nyingi vya kutosha kuwachanganya wote. Kwenye mteja wa Linux firewall ya ndani inaweza kutupa GRE muda mrefu kabla ya kipanga njia kuhusika, kwa hiyo itifaki 47 inahitaji kanuni yake na msaidizi wa conntrack lazima apakiwe. ufw ya Ubuntu huhifadhi kanuni hizo katika faili ya before, kwa sababu kanuni za kawaida za allow haziwezi kueleza namba ya itifaki. Baadaye pakia upya firewall badala ya kuwasha upya mashine.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP na IPsec nyuma ya NAT mbili

L2TP ndani ya IPsec inahitaji UDP 500 kwa kubadilishana funguo, UDP 4500 pindi NAT inapogunduliwa, na ESP kama itifaki 50. Kila moja huchujwa kwa kujitegemea, kwa hiyo kanuni inayoruhusu moja haithibitishi chochote kuhusu mbili nyingine. Vipanga njia viwili mfululizo hutafsiri kila pakiti mara mbili, na ncha hazikubaliani tena kuhusu kilichojadiliwa.

Unganisha modemu ya nje kwa daraja, au zima NAT kwenye kipanga njia cha ndani, ili anwani ya umma ifikie kifaa kinachomaliza tuneli. Pale ambapo hakuna hata moja inawezekana, tuneli lazima ianzishwe kutoka ndani ya mpaka wa NAT mbili, si kumalizwa hapo.

Mitandao ya watoa huduma na kugawana anwani

Anwani ya WAN ndani ya 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 au 100.64.0.0/10 humaanisha kipanga njia hakina anwani ya umma na hakuna usambazaji wowote wa kuingia kutoka mtandao unaoweza kukifika. NAT ya kiwango cha mtoa huduma pia huchuja itifaki ambazo haitarajii, na GRE ni mwathirika wa mara kwa mara kwenye viungo vya simu. Linganisha anwani ya WAN kwenye kipanga njia chenyewe, si anwani ambayo tovuti ya utafutaji inaripoti kwa mteja aliye nyuma yake.

Kuendesha kipanga njia kilekile kwenye laini ya waya hutenganisha ugunduzi wa mtoa huduma na kosa la usanidi kwa jaribio moja. Pale mtoa huduma anapokataa itifaki, chaguo zilizobaki ni usafirishaji mwingine kwenye 443 au tuneli iliyoanzishwa kutoka ndani.

Soma orodha ya wasikilizaji kabla ya kufunga bandari

Uchunguzi wa bandari unaotia wasiwasi mara nyingi ni seti ya vipengele inayokuja ikiwa imewezeshwa. Orodhesha wasikilizaji, oanisha kila soketi na kipengele, kisha zima kipengele badala ya kuzuia bandari, ili mitazamo miwili isitengane.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

Mipangilio chaguo-msingi ya SoftEther ni mfano mzuri: TCP 443, 992 na 5555, huku vipengele vya L2TP/IPsec na tuneli ya DNS vikiongeza soketi zao. Kuzima vipengele hivyo huondoa wasikilizaji badala ya kuwaficha, na jaribio kutoka mwenyeji wa nje hukuambia kama mtoa huduma anaruhusu bandari ipite kabisa. Msikilizaji anayejibu ndani anaweza bado kuwa amefungwa juu, kwa hiyo linganisha anwani ya WAN ya kipanga njia chenyewe na kile ambacho huduma ya nje inaripoti.