L2TP laisi IPsec lori Linux: xl2tpd, pppd ati NAT

L2TP tí kò ní ìpamọ́ jẹ́ PPP nínú àpò lẹ́tà, kì í sì í ṣe ohun mìíràn. Ó ń gbé àwọn férémù rẹ; kò ń fi ààbò bo wọ́n, kò sì ń fi hàn ẹni tí ó jókòó ní ìpẹ̀kun kejì, ìdí nìyẹn tí ó fi jẹ́ pé ó fẹ́rẹ̀ẹ́ jẹ́ gbogbo ìpilẹ̀ṣẹ̀ ni ó ń fi IPsec sábẹ́ rẹ̀. Àwọn ìdí òtítọ́ láti máa lo ẹ̀yà tí kò ní ìpamọ́ ṣì wà: pátákó yàrá ìdánwò kan, ìgbésẹ̀ ìṣípòpadà kan, tàbí àsojápọ̀ tí ó ti wà nínú ọ̀nà mìíràn tí a dáàbò bo.

Tí ẹ bá tẹ̀síwájú, kọ ìkìlọ̀ yẹn sínú àkọsílẹ̀ àpẹẹrẹ kí ẹ sì fi síbẹ̀. Ohun tí ó tẹ̀le ni ọ̀nà iṣẹ́ tí mo ń lò lórí àwọn agbàlejò ìdílé Debian àti RHEL: fáìlì wo ni ó ń ṣàkóso kí ni, MTU tí ó ń dènà ìdúró àtẹ̀gùn, àti àwọn ìlànà gbígbé jáde tí ó mú kí òpópónà náà níye.

Fáìlì mẹ́ta ń pín iṣẹ́

xl2tpd ń parí ìsopọ̀ ìṣàkóso, ó sì ń fi gbogbo ìgbà sí daemon PPP, nítorí náà ètò náà pín sáàárín àwọn ètò méjì tí kì í ka fáìlì ara wọn. Olùgbọ́ ń gbé nínú /etc/xl2tpd/xl2tpd.conf, nínú ẹ̀ka [lns default] tí ó ń pe àkójọ àwọn àdírẹ́sì ní ip range, ẹ̀gbẹ́ olùpèsè ní local ip, àti ìfàṣẹ́ sí PPP ní pppoptfile. Tan require authentication = yes, jẹ́ kí length bit àti flow bit wà ní ṣíṣí, kí ẹ sì yan àkójọ tí kò sí ohun mìíràn lórí agbàlejò tí ó ń lò.

Ìlànà PPP jẹ́ ti fáìlì tí àṣàyàn yẹn ń pè, ní ọ̀pọ̀ ìgbà /etc/ppp/options.xl2tpd: auth, àwọn ìkọ̀sílẹ̀ fún pap, chap àti mschap, require-mschap-v2, MTU àti MRU 1460, àti àdírẹ́sì DNS tí oníbàárà lè dé lẹ́yìn tí àsojápọ̀ bá dìde. Àwọn ẹ̀rí ìdánimọ̀ jẹ́ fáìlì kẹta lẹ́ẹ̀kan sí i, /etc/ppp/chap-secrets, níbi tí pápá kejì gbọdọ̀ bá orúkọ ẹ̀ka LNS mu, pápá kẹrin sì lè fi àdírẹ́sì pàtó kan mú láti inú àkójọ.

Ìdí tí òpópónà fi ń so mọ́ra tí ó sì ń dúró

Férémù Ethernet 1500 báìtì kò wọ inú ọ̀nà tí ó ti ń ná báìtì lórí àwọn orí-ọ̀rọ̀ tirẹ̀. Orí-ọ̀rọ̀ IPv4 òde gba 20, UDP gba 8, orí-ọ̀rọ̀ L2TP sì gba nǹkan bí 12, èyí tí ó fi 1460 sílẹ̀ fún PPP àti ẹrù rẹ̀. Pípè ọ̀rọ̀-ìwọ̀n kékeré yẹn ní PPP ni ó ń dènà àwọn pákẹ́tì ńlá láti pín sí wẹ́wẹ́ tàbí láti já bọ́ ní ìdákẹ́jẹ́ẹ́ níbìkan ní àárín.

Àmì ni òpópónà tí ó dàbí ẹni tí ó ní ìlera títí ìgbà tí ìrìnàjò gidi yóò fi dé: àwọn píngì àti àwọn ìfiránṣẹ́ ìṣàkóso ń kọjá, ẹ̀dà fáìlì kan ń dúró, kò sí ohun tí ó ń ṣàlàyé rẹ̀ nínú àkọsílẹ̀. Sọ MTU àti MRU kalẹ̀ papọ̀ ní ìpẹ̀kun méjèèjì. Mímú oníbàárà nìkan ṣe àtúnṣe máa ń yí ìdúró líle padà sí èyí tí ó máa ń wá lẹ́ẹ̀kọ̀ọ̀kan, èyí tí ó nira láti ṣàyẹ̀wò.

Èbúté kan ń gbé ìjíròrò méjì

UDP 1701 wà nísàlẹ̀ ìlàjì méjèèjì ti ìlànà, àti òtítọ́ kan náà yẹn ń fọ́ àwọn ìlànà odi iná púpọ̀ ju apá mìíràn kúrò nínú ètò náà. Lákọ̀ọ́kọ́, ìbéèrè ìbẹ̀rẹ̀ ìsopọ̀ ìṣàkóso àti ìdáhùn rẹ̀ ń wá; ìbéèrè ìgbà àti ìjẹ́rìí tí ó tẹ̀le kò dá ohunkóhun mìíràn lórí ju orísìí ìdánimọ̀ lọ. Lẹ́yìn náà PPP gba ipò: ìṣàkóso àsojápọ̀, lẹ́yìn náà ìjẹ́rìí, lẹ́yìn náà ìlànà ìṣàkóso IP láti fohùn ṣọ̀kan lórí àwọn àdírẹ́sì. Ìpele kọ̀ọ̀kan ní ọ̀rọ̀ tirẹ̀ nínú àkọsílẹ̀, kò sì sí ọ̀kan nínú wọn tí ó ń kéde ara rẹ̀ gẹ́gẹ́ bí ìkùnà L2TP.

Kíkà gbà ìdánimọ̀ kan ní ìtẹ̀léra yẹn gan-an ń sọ ìpele tí ó kùnà fún ọ, ìkùnà ìjẹ́rìí PPP kì yóò sì ní àtúnṣe nípasẹ̀ ṣíṣàtúnṣe xl2tpd. Èbúté tí a pín máa ń ṣàlàyé ìkùnà mìíràn tí ó wọ́pọ̀: ìlànà tí ó gba àwọn pákẹ́tì àkọ́kọ́ ti ṣíṣàn nìkan láàyè ń jẹ́ kí ìgbà di ìdásílẹ̀, lẹ́yìn náà ó dí gbígbé jáde. Gba 1701 láàyè fún gbogbo ìjíròrò, ní ẹ̀gbẹ́ méjèèjì.

Mímú òpópónà wúlò: gbígbé jáde àti NAT

Ìgbà fúnra rẹ̀ ń dé olùpèsè nìkan. Àwọlé íńtánẹ́ẹ̀tì àwọn oníbàárà nílò gbígbé jáde, ìlànà NAT fún àkójọ lórí àsojápọ̀ òkè, àti DNS tí oníbàárà lè béèrè ní ti gidi lẹ́yìn tí àsojápọ̀ bá dìde. Àkójọ náà tún gbọdọ̀ wà ní òde ìwọ̀n LAN, bí bẹ́ẹ̀ kọ́ a máa ń fi àwọn ìdáhùn tí a kọ sí àwọn oníbàárà ránṣẹ́ ní àdúgbò dípò títì wọ́n padà sínú òpópónà.

Lórí olùpèsè, tan gbígbé jáde pẹ̀lú sysctl -w net.ipv4.ip_forward=1, túmọ̀ àkójọ pẹ̀lú iptables -t nat -A POSTROUTING -s 10.44.0.0/24 -o eth0 -j MASQUERADE, lẹ́yìn náà gba ìrìnàjò òpópónà tí ó ń jáde pẹ̀lú ìlànà FORWARD fún -i ppp0 -o eth0 àti ìrìnàjò tí ó ń padà wá pẹ̀lú ìlànà dígí pẹ̀lú -m state --state RELATED,ESTABLISHED. Jẹ́ kí àwọn ìlànà yẹn wà pẹ́ títí láàárín àwọn ìgbà ìtúnbẹ̀rẹ̀, nítorí olùpèsè tí ó padà wá láìsí wọ́n dàbí ètò L2TP tí ó ti bàjẹ́ gan-an.

Dídé LAN ti olùpèsè fúnra rẹ̀ jẹ́ iṣẹ́ mìíràn: fi ọ̀nà ìpadà fún àkójọ kún lórí olùdarí LAN, tàbí lo proxy ARP lórí olùpèsè. Fífi àwọn oníbàárà pa mọ́ sẹ́yìn NAT nígbà tí ohun kan nínú LAN gbọdọ̀ bá wọn sọ̀rọ̀ tààrà kì í ṣe àfikún ju ṣíṣètò ìgbà àtúnṣe kejì fún ìgbà tí ó ń bọ̀.

Ohun tí àkópọ̀ tí kò ní ìpamọ́ kò ṣe, àti bí a ṣe ń ṣàyẹ̀wò

Kò sí apá kankan nínú àkópọ̀ yìí tí ó ń fi ààbò bo àwọn férémù PPP, kò sì sí ohunkóhun nínú rẹ̀ tí ó ń jẹ́rìí ìpẹ̀kun jíjìnnà gẹ́gẹ́ bí olùpèsè tí ẹ yàn ní ti gidi. MS-CHAPv2 máa ń dáàbò bo pàṣípààrọ̀ ẹ̀rí ìdánimọ̀ lọ́wọ́ olùgbọ́ tí ó kàn ń wò, ṣùgbọ́n ẹni tí ó ń kọlu tí ó wà lórí ọ̀nà ṣì lè dá ìgbà náà dúró. Oníbàárà ìbílẹ̀ Windows ń fi L2TP lọ́nà pẹ̀lú IPsec nìkan, nítorí náà ka Linux, firmware olùdarí àti àwọn oníbáárà ẹlẹ́ẹ̀kẹta gẹ́gẹ́ bí alábàákẹ́gbẹ́ rẹ. Wo ètò tí kò ní ìpamọ́ gẹ́gẹ́ bí àtẹ̀gùn ìṣàyẹ̀wò, kì í ṣe ibi ìdúró rárá.

Ṣàyẹ̀wò ní ìtẹ̀léra tí ó dúró ṣinṣin: ṣiṣẹ́ xl2tpd -D ní iwájú, wò ìwé ìròyìn fún ìpele PPP, ka àdírẹ́sì tí a yàn láti ip addr ní ìpẹ̀kun méjèèjì, lẹ́yìn náà mú UDP 1701 láti jẹ́rìí pé dátà ń ṣàn lẹ́yìn tí ìgbà bá dìde. Bí gbogbo mẹ́rin bá bá ara wọn mu tí ìrìnàjò ṣì ń kùnà, ẹ̀bi wà nínú ìtọ́nisọ́nà, NAT tàbí MTU, kì í ṣe nínú L2TP fúnra rẹ̀.