PPTP bo'lingan tunneli ishlamaydi: avval GRE yo'lini tuzating

PPTP ulanishining ko'tarilishini kuzating va qiyin qism tugadi deb ishonish oson: mijoz autentifikatsiyadan o'tadi, ppp0 adapteri yoki WAN Miniport paydo bo'ladi va holat oynasi yashil bo'ladi. Keyin ichki xostga birinchi so'rov vaqt tugashi bilan yakunlanadi va profil ayblanadi. Amalda ikkita mustaqil qatlamni tozalash kerak: TCP 1723 va GRE ni tashuvchi tashqi transport va qaysi manzillar PPP interfeysidan foydalanishini hal qiluvchi ichki siyosat. Yashil holat faqat birinchi qatlam kelishganini isbotlaydi; ikkinchisi haqida hech narsa demaydi.

Mijozni profildan boshqaruv soketigacha kuzatib boring

Mijoz jurnalini oching va u server bilan aloqa qiladigan nuqtani toping. PPTP avval 1723 portiga TCP ulanishini ochadi va shu kanal orqali tunnel parametrlarini kelishadi. Agar bu qadam muvaffaqiyatsiz bo'lsa, keyingi hech narsa muhim emas va xato odatda server manzilini yoki vaqt tugashini ko'rsatadi.

Har qanday marshrutga tegishdan oldin boshqaruv ulanishini tarmoqda tasdiqlang. Mijozda yoki ko'zgu portida bitta ulanish urinishi uchun TCP 1723 ni ushlang:

sudo tcpdump -ni any 'tcp port 1723' -c 20

Tugallangan qo'l siqish va o'rnatilgan sessiya tashqi boshqaruv kanali ishlayotganini bildiradi. Hech qachon SYN-ACK olmaydigan SYN xavfsizlik devori, noto'g'ri server manzili yoki portni filtrlaydigan provayderga ishora qiladi. Qo'l siqishdan keyin darhol qayta o'rnatish ko'pincha server hisob ma'lumotlarini yoki tunnel turini rad etganini bildiradi.

GRE ikkinchi protokol, port emas

PPTP PPP yukini kengaytirilgan GRE, ya'ni IP 47 protokoli ichida tashiydi, unda marshrutizator kuzata oladigan port raqami yo'q. Shuning uchun TCP 1723 ga ruxsat beruvchi qoida ham tunnelni ma'lumot yo'lisiz qoldirishi mumkin. Holatli NAT qurilmalari javoblarni qayta xaritalash uchun GRE ichidagi qo'ng'iroq ID sini tushunishi kerak va ko'pchiligi buni qilmaydi. PPTP spetsifikatsiyasi boshqaruv kanali va GRE yukini alohida qismlar sifatida saqlaydi va sizning sinov rejangiz ham shunday bo'lishi kerak.

Xuddi shu ushlashda 47 protokolini kuzating, so'ng chiqayotgan va qaytayotgan narsani solishtiring:

sudo tcpdump -ni any 'proto gre' -c 20

TCP 1723 sog'lom bo'lganda javobsiz chiqayotgan paketlar bloklangan GRE ning klassik belgisidir. Uy routerida PPTP o'tkazish aynan shu proshivkaning xususiyati, shuning uchun ishlaydigan mehmonxona tarmog'i keyingisi haqida hech narsa isbotlamaydi. Agar router o'tkazishni taklif qilmasa va siz uni o'zgartira olmasangiz, muammo marshrutlar jadvalida emas, protokol tanlovida.

Tunnel bitta paketni ko'chirishini isbotlang

GRE oqa boshlaganda, PPP muzokarasi mijoz interfeysiga manzil beradi. Taxmin qilish o'rniga taqsimotni o'qing:

ip -4 addr show ppp0

Nuqta-nuqtaga aloqasining manzili sifatida ko'rsatilgan hamkor manziliga ping yuboring. Bu bosqichdagi javob kapsullangan yo'l boshidan oxirigacha ishlashini va server tunnel ichida javob berishini isbotlaydi. Hamkor javob berib, ichki xostlar bermasa, tashqi transport joyida va nosozlik ichkariga ko'chgan.

Buni har qanday bo'lingan marshrut qo'shishdan oldin qiling. Transport buzilgan holatda qilingan marshrut o'zgarishi ikkinchi o'zgaruvchini yaratadi va birinchisini yashiradi.

Bo'lingan siyosatni yozing, DNS bilan birga

Bo'lingan marshrutlash qarorlar ro'yxati, tasdiqlash katakchasi emas. Tunnelni kesib o'tishi kerak bo'lgan har bir xususiy prefiks PPP interfeysi orqali marshrutga muhtoj, mahalliy qolishi kerak bo'lgan har bir prefiks esa unda bo'lmasligi kerak. Ilova quyi tarmog'i uchun uning xususiy hal qiluvchisiga mos marshrutsiz marshrut yaratish buzilgan ilova kabi ko'rinadigan uzilish yaratishning keng tarqalgan usulidir.

Har bir toifada bitta manzil uchun yadro qabul qiladigan qarorni tekshiring:

ip route get 10.20.5.10
ip route get 203.0.113.25

Birinchisi ppp0, ikkinchisi oddiy shlyuzni nomlashi kerak. Agar ikkalasi bir xil interfeysni nomlasa, siyosat umuman bo'linmagan. DNS serverining o'z manzilini tunnel ro'yxatiga qo'shing, aks holda ichki xostlar uchun nom hal qilish mahalliy hal qiluvchi orqali chiqadi va foydali hech narsa qaytarmaydi.

Besh qadamda takrorlanadigan tekshiruv

Qatlamlarni tartib bilan ishga tushiring va birinchi muvaffaqiyatsiz bo'lganida to'xtang: boshqaruv kanali, GRE ko'rinishi, PPP hamkorining javobi, bitta ichki manzil uchun bo'lingan marshrut va tunnel orqali ilova so'rovi. Har bir qadamning o'z buyrug'i bor, shuning uchun nosozlikni sir emas, bog'lash mumkin.

Linux mijozi uchun ixcham versiya shunday ko'rinadi:

sudo tcpdump -ni any 'tcp port 1723 or proto gre' -c 40
ip -4 addr show ppp0
ping -c 3 192.0.2.1
ip route get 10.20.5.10

Windows da xuddi shu tartib route print va mijozda ko'rsatilgan adapter holati bilan amal qiladi. PPTP eski protokol va agar server SSTP yoki IKEv2 taklif qilsa, har bir sakrashda 47 protokoli o'tishiga bog'liq yo'lni sozlashdan ko'ra ko'chish odatda vaqtni yaxshiroq ishlatishdir. Eski profilni yangi nashrga ko'chirish o'rniga almashtiruvchining sertifikati va autentifikatsiya shartnomasini tekshiring.