VPN సొరంగం ఎప్పటికీ కనెక్ట్ అవ్వదు: ప్యాకెట్లు నిజంగా ఎక్కడ ఆగుతాయి

ఎప్పటికీ ఏర్పడని సొరంగం రెండు చివరల్లో ఖాళీ లాగ్ వదిలివేస్తుంది. GRE, ESP లేదా UDP 4500 విస్మరించబడుతున్నాయా అని గుర్తించి, సర్వర్‌ను మార్చే ముందు క్యారియర్ NAT‌ను గుర్తించండి.

క్లయింట్ పదేపదే మళ్లీ ప్రయత్నిస్తూంది, హ్యాండ్‌షేక్ పూర్తికాకముందే లాగ్ ఆగిపోతుంది, సర్వర్ ఏమీ నమోదు చేయదు. ఈ నమూనా ధృవీకరణల నుండి దూరంగా మార్గం వైపు చూపిస్తుంది: రెండు చివరల మధ్య ఏదో సొరంగానికి అవసరమైన ప్రోటోకాల్‌ను తీసుకెళ్లడానికి నిరాకరిస్తుంది. ఏదైనా ఒక కాన్ఫిగరేషన్‌ను తాకే ముందు ప్యాకెట్లు ఎక్కడ ఆగుతాయో నిర్ణయించండి, ఎందుకంటే ఫిల్టర్ చేసిన ప్రోటోకాల్ మరియు తప్పు పాస్‌వర్డ్ చాలా క్లయింట్లలో అదే స్నేహపూర్వక లోపాన్ని ఇస్తాయి. పరీక్షలు ఖర్చు క్రమంలో ఉన్నాయి, చవకైనది మొదట.

ట్రాఫిక్ ఎక్కడ ఆగుతుందో నిరూపించండి

ఒకే సమయంలో క్లయింట్ యొక్క అవుట్‌బౌండ్ ఇంటర్‌ఫేస్‌లో మరియు సర్వర్‌లో క్యాప్చర్ చేయండి. బయలుదేరిన దాన్ని చేరుకున్న దానితో పోల్చి, తేడా ఏ దిశలో కనిపిస్తుందో గుర్తించండి.

సర్వర్‌లో ఏమీ లేకపోతే మార్గం లేదా మొదటి NAT ట్రాఫిక్‌ను విస్మరిస్తోంది, ప్రతిస్పందన లేని రాకలు సర్వర్‌లోని ఫైర్‌వాల్ లేదా లేని తిరిగి వెళ్లే మార్గాన్ని సూచిస్తాయి. సొరంగాలను తరచుగా ముగించే రౌటర్ సాధారణంగా ఉపయోగకరమైన లాగ్ ఉంచుకోదు, కాబట్టి క్యాప్చరే నమోదు అవుతుంది. గమ్యం పోర్ట్ మరియు ప్రోటోకాల్ సంఖ్యను రాయండి, ఎందుకంటే రెండు వైఫల్యాలు క్లయింట్ సంభాషణలో ఒకేలా కనిపిస్తాయి.

ప్రోటోకాల్ 47 లేకుండా PPTP చనిపోతుంది

PPTP నియంత్రణను TCP 1723 పై, డేటాను GRE లోపల తీసుకెళ్తుంది, అది పోర్ట్ నంబర్ కాదు, IP ప్రోటోకాల్ 47. 1723 మాత్రమే ఫార్వర్డ్ చేస్తే సాంప్రదాయ ఫలితం వస్తుంది: కనెక్షన్ ప్రామాణీకరణ చేసి తర్వాత నిశ్శబ్దమవుతుంది, ఎందుకంటే పేలోడ్ మోసే ప్రోటోకాల్‌కు నియమం లేదు. క్లయింట్ దీన్ని తిరస్కరించిన పాస్‌వర్డ్ నుండి వేరు చేయలేదు, కాబట్టి క్యాప్చర్ కాన్ఫిగరేషన్ మార్పులకు ముందే ఉండాలి.

పాస్‌త్రూ ఇన్‌బౌండ్ ఫార్వర్డ్‌కు వ్యతిరేక దిశలో నడుస్తుంది, మరియు ఫర్మ్‌వేర్ రెండింటికీ ఒకే లేబుల్‌ను తరచుగా ఉపయోగిస్తుంది, అందరినీ గందరగోళపరచడానికి సరిపోతుంది. Linux క్లయింట్‌లో రౌటర్ పాల్గొనకముందే స్థానిక ఫైర్‌వాల్ GRE ను విస్మరించగలదు, కాబట్టి ప్రోటోకాల్ 47 కు దాని సొంత నియమం కావాలి, conntrack సహాయకుడు లోడ్ కావాలి. Ubuntu యొక్క ufw ఈ నియమాలను before ఫైల్‌లో ఉంచుతుంది, ఎందుకంటే సాధారణ allow నియమాలు ప్రోటోకాల్ సంఖ్యను తెలియజేయలేవు. తర్వాత యంత్రాన్ని రీబూట్ చేయడం బదులు ఫైర్‌వాల్‌ను మళ్లీ లోడ్ చేయండి.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

రెండు NATల వెనుక L2TP మరియు IPsec

L2TP IPsec లోపల కీ మార్పిడికి UDP 500, NAT గుర్తించినప్పుడు UDP 4500, మరియు ప్రోటోకాల్ 50 గా ESP అవసరం. వీటిలో ప్రతి ఒక్కటి విడిగా ఫిల్టర్ అవుతుంది, కాబట్టి ఒకదాన్ని అనుమతించే నియమం మిగతా రెండు గురించి ఏమీ నిరూపించదు. వరుసగా రెండు రౌటర్లు ప్రతి ప్యాకెట్‌ను రెండుసార్లు అనువదిస్తాయి, చివరలు ఏమి చర్చించబడిందనే దానిపై ఇక ఏకీభవించవు.

బయటి మోడెమ్‌ను బ్రిడ్జ్ చేయండి, లేదా లోపలి రౌటర్‌లో NAT ను ఆపండి, పబ్లిక్ చిరునామా సొరంగాన్ని ముగించే పరికరానికి చేరేలా. రెండూ సాధ్యం కాని చోట, సొరంగం డబుల్ NAT సరిహద్దు లోపలి నుండి ప్రారంభం కావాలి, అక్కడ ముగించకూడదు.

క్యారియర్ నెట్‌వర్క్‌లు మరియు చిరునామా పంపకం

WAN చిరునామా 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 లేదా 100.64.0.0/10 లోపల ఉంటే రౌటర్‌కు పబ్లిక్ చిరునామా లేదు మరియు ఇంటర్నెట్ నుండి ఏ ఇన్‌బౌండ్ ఫార్వర్డ్ కూడా దాన్ని చేరుకోలేదు. క్యారియర్ స్థాయి NAT ఊహించని ప్రోటోకాల్‌లను కూడా ఫిల్టర్ చేస్తుంది, మొబైల్ లింకులపై GRE తరచుగా బలి అవుతుంది. రౌటర్‌పై ఉన్న WAN చిరునామాను పోల్చండి, దాని వెనుక ఉన్న క్లయింట్ కోసం లుక్అప్ సైట్ చెప్పే చిరునామాతో కాదు.

అదే రౌటర్‌ను వైర్ లైన్‌లో నడపడం ఒకే పరీక్షలో క్యారియర్ కనుగొన్నదాన్ని కాన్ఫిగరేషన్ లోపం నుండి వేరు చేస్తుంది. క్యారియర్ ప్రోటోకాల్‌ను తిరస్కరిస్తే, మిగిలిన ఎంపికలు 443లో మరో రవాణా లేదా లోపలి నుండి ప్రారంభమయ్యే సొరంగం.

పోర్టులను మూసే ముందు శ్రోతల జాబితాను చదవండి

ఆందోళన కలిగించే పోర్ట్ స్కాన్ సాధారణంగా ఆన్ స్థితిలో వచ్చే ఫీచర్ సెట్ మాత్రమే. శ్రోతలను జాబితా చేయండి, ప్రతి సాకెట్‌ను ఫీచర్‌తో జత చేయండి, తర్వాత పోర్టును బ్లాక్ చేయడం బదులు ఫీచర్‌ను ఆపండి, రెండు దృశ్యాలు వేరుపడకుండా.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

SoftEther యొక్క డిఫాల్ట్‌లు మంచి ఉదాహరణ: TCP 443, 992 మరియు 5555, L2TP/IPsec మరియు DNS-సొరంగం ఫీచర్‌లు తమ స్వంత సాకెట్లను జోడిస్తాయి. ఆ ఫీచర్‌లను ఆపడం శ్రోతలను దాచడం బదులు తొలగిస్తుంది, బయటి హోస్ట్ నుండి పరీక్ష క్యారియర్ పోర్టును అనుమతిస్తుందా అని చెబుతుంది. స్థానికంగా ప్రతిస్పందించే శ్రోత పైన ఇంకా మూసి ఉండవచ్చు, కాబట్టి రౌటర్ యొక్క స్వంత WAN చిరునామాను బయటి సేవ నివేదించే దానితో పోల్చండి.

సంబంధిత వ్యాసాలు