VPN சுரங்கப்பாதை ஒருபோதும் இணைக்கப்படுவதில்லை: பாக்கெட்டுகள் உண்மையில் எங்கு நிற்கின்றன

வாடிக்கையாளர் மீண்டும் மீண்டும் முயற்சிக்கிறது, கைக்குலுக்கல் முடிவதற்கு முன் பதிவு நிற்கிறது, சேவையகம் எதையும் பதிவு செய்யவில்லை. இந்த முறை அடையாளச் சான்றுகளிலிருந்து விலகி பாதையை நோக்கிக் காட்டுகிறது: இரு முனைகளுக்கு இடையே ஏதோ சுரங்கப்பாதைக்குத் தேவையான நெறிமுறையை எடுத்துச் செல்ல மறுக்கிறது. எந்தவொரு கட்டமைப்பையும் தொடுவதற்கு முன் பாக்கெட்டுகள் எங்கு நிற்கின்றன என்பதைத் தீர்மானியுங்கள், ஏனெனில் வடிகட்டப்பட்ட நெறிமுறையும் தவறான கடவுச்சொல்லும் பெரும்பாலான வாடிக்கையாளர்களில் ஒரே நட்பான பிழையைத் தருகின்றன. சோதனைகள் செலவு வரிசையில் உள்ளன, மலிவானது முதலில்.

போக்குவரத்து எங்கு நிற்கிறது என்பதை நிரூபியுங்கள்

ஒரே நேரத்தில் வாடிக்கையாளரின் வெளியேறும் இடைமுகத்திலும் சேவையகத்திலும் பதிவு செய்யுங்கள். வெளியேறியதை வந்ததுடன் ஒப்பிட்டு, வேறுபாடு எந்தத் திசையில் தெரிகிறது என்பதைக் குறிக்கவும்.

சேவையகத்தில் எதுவும் இல்லாவிட்டால் பாதை அல்லது முதல் NAT போக்குவரத்தை வீசுகிறது, பதிலில்லாத வருகைகள் சேவையகத்தின் ஃபயர்வால் அல்லது இல்லாத திரும்பும் பாதையைக் காட்டுகின்றன. சுரங்கப்பாதைகளை அடிக்கடி முடிக்கும் ரவுட்டர் பயனுள்ள பதிவை வைத்திருப்பது அரிது, எனவே பதிவே ஆவணமாகிறது. இலக்கு துறைமுகத்தையும் நெறிமுறை எண்ணையும் எழுதுங்கள், ஏனெனில் இரண்டு தோல்விகளும் வாடிக்கையாளர் உரையாடலில் ஒரே மாதிரி தெரிகின்றன.

நெறிமுறை 47 இல்லாமல் PPTP இறக்கிறது

PPTP கட்டுப்பாட்டை TCP 1723 இல், தரவை GRE உள்ளே எடுத்துச் செல்கிறது, அது துறைமுக எண் அல்ல, IP நெறிமுறை 47. 1723 மட்டும் அனுப்பினால் வழக்கமான முடிவு வரும்: இணைப்பு அங்கீகரிக்கப்பட்டு பின்னர் அமைதியாகிறது, ஏனெனில் சுமையை எடுத்துச் செல்லும் நெறிமுறைக்கு விதி இல்லை. வாடிக்கையாளர் இதை நிராகரிக்கப்பட்ட கடவுச்சொல்லிலிருந்து வேறுபடுத்த முடியாது, எனவே பதிவு கட்டமைப்பு மாற்றங்களுக்கு முன் இருக்க வேண்டும்.

பாஸ்த்ரூ உள்வரும் அனுப்புதலுக்கு எதிர் திசையில் இயங்குகிறது, மேலும் ஃபேர்ம்வேர் இரண்டிற்கும் ஒரே லேபிளை அடிக்கடி பயன்படுத்துகிறது, எல்லோரையும் குழப்ப போதுமான அளவு. Linux வாடிக்கையாளரில் ரவுட்டர் ஈடுபடுவதற்கு வெகு முன்பே உள்ளூர் ஃபயர்வால் GRE-ஐ வீசக்கூடும், எனவே நெறிமுறை 47 க்கு அதன் சொந்த விதி தேவை, conntrack உதவியாளர் ஏற்றப்பட வேண்டும். Ubuntu-வின் ufw இந்த விதிகளை before கோப்பில் வைத்திருக்கிறது, ஏனெனில் சாதாரண allow விதிகள் நெறிமுறை எண்ணை வெளிப்படுத்த முடியாது. அதன் பிறகு இயந்திரத்தை மறுதொடக்கம் செய்வதற்குப் பதிலாக ஃபயர்வாலை மீண்டும் ஏற்றுங்கள்.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

இரண்டு NAT பின்னால் L2TP மற்றும் IPsec

L2TP IPsec உள்ளே சாவி பரிமாற்றத்திற்கு UDP 500, NAT கண்டறியப்படும்போது UDP 4500, நெறிமுறை 50 ஆக ESP தேவை. இவை ஒவ்வொன்றும் தனித்தனியாக வடிகட்டப்படுகின்றன, எனவே ஒன்றை அனுமதிக்கும் விதி மற்ற இரண்டைப் பற்றி எதையும் நிரூபிக்காது. வரிசையில் இரண்டு ரவுட்டர்கள் ஒவ்வொரு பாக்கெட்டையும் இருமுறை மொழிபெயர்க்கின்றன, முனைகள் என்ன பேச்சுவார்த்தை நடந்தது என்பதில் இனி உடன்படவில்லை.

வெளிப்புற மோடத்தை பிரிட்ஜ் செய்யுங்கள், அல்லது உட்புற ரவுட்டரில் NAT-ஐ அணையுங்கள், பொது முகவரி சுரங்கப்பாதையை முடிக்கும் சாதனத்தை அடையும் வகையில். இரண்டும் சாத்தியமில்லாத இடத்தில், சுரங்கப்பாதை இரட்டை NAT எல்லைக்குள் இருந்து தொடங்க வேண்டும், அங்கு முடிக்கக்கூடாது.

கேரியர் நெட்வொர்க்குகள் மற்றும் முகவரி பகிர்வு

WAN முகவரி 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 அல்லது 100.64.0.0/10 க்குள் இருந்தால் ரவுட்டருக்கு பொது முகவரி இல்லை, இணையத்திலிருந்து எந்த உள்வரும் அனுப்புதலும் அதை அடைய முடியாது. கேரியர் அளவிலான NAT எதிர்பார்க்காத நெறிமுறைகளையும் வடிகட்டுகிறது, மொபைல் இணைப்புகளில் GRE அடிக்கடி பலியாகிறது. ரவுட்டரின் மேலேயே உள்ள WAN முகவரியை ஒப்பிடுங்கள், அதன் பின்னால் உள்ள வாடிக்கையாளருக்கு தேடல் தளம் கூறும் முகவரியுடன் அல்ல.

அதே ரவுட்டரை கம்பி இணைப்பில் இயக்குவது ஒரே சோதனையில் கேரியர் கண்டுபிடிப்பை கட்டமைப்பு பிழையிலிருந்து பிரிக்கிறது. கேரியர் நெறிமுறையை மறுத்தால், மீதமுள்ள விருப்பங்கள் 443 இல் மற்றொரு போக்குவரத்து அல்லது உள்ளிருந்து தொடங்கும் சுரங்கப்பாதை.

துறைமுகங்களை மூடும் முன் கேட்பவர்களின் பட்டியலைப் படியுங்கள்

கவலையூட்டும் துறைமுக ஸ்கேன் பெரும்பாலும் இயக்கப்பட்ட நிலையில் வரும் அம்சத் தொகுப்பு மட்டுமே. கேட்பவர்களைப் பட்டியலிடுங்கள், ஒவ்வொரு சாக்கெட்டையும் ஒரு அம்சத்துடன் பொருத்துங்கள், பின்னர் துறைமுகத்தைத் தடுப்பதற்குப் பதிலாக அம்சத்தை அணையுங்கள், இரு பார்வைகளும் விலகாமல் இருக்க.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

SoftEther-இன் இயல்புநிலைகள் நல்ல எடுத்துக்காட்டு: TCP 443, 992 மற்றும் 5555, L2TP/IPsec மற்றும் DNS-சுரங்கப்பாதை அம்சங்கள் தங்கள் சொந்த சாக்கெட்டுகளைச் சேர்க்கின்றன. அந்த அம்சங்களை அணைப்பது கேட்பவர்களை மறைப்பதற்குப் பதிலாக நீக்குகிறது, வெளிப்புற ஹோஸ்ட்டிலிருந்து சோதனை கேரியர் துறைமுகத்தை அனுமதிக்கிறதா என்பதைச் சொல்கிறது. உள்ளூரில் பதிலளிக்கும் கேட்பவர் மேலே இன்னும் மூடப்பட்டிருக்கலாம், எனவே ரவுட்டரின் சொந்த WAN முகவரியை வெளிப்புற சேவை தெரிவிப்பதுடன் ஒப்பிடுங்கள்.