PPTP passthrough kò sí: títí aṣìṣe 807 ti VPN Windows

Fífi TCP 1723 ránṣẹ́ máa ń tún apá àkọ́kọ́ ti PPTP ṣe, ó sì fi ìyókù sílẹ̀ bí ó ti bàjẹ́, nítorí náà Windows ṣì ń dá aṣìṣe 807 padà nígbà ìgbìyànjú. Èrò tí ó tẹ̀lé ni pé kí a fi òfin kún fún ibùdó 47, ìgbésẹ̀ yẹn gan-an sì ni ó ń sọ ọ̀sán kan di asán: GRE jẹ́ nọ́mbà ìlànà nínú orí IP, kì í ṣe ibùdó tí tabili ìfiránṣẹ́ lè bá mu. Títí rọuta yóò fi gba ìlànà 47 kọjá, tí yóò sì so ó mọ́ ìpè kan náà, ọ̀nà náà kò lè bẹ̀rẹ̀. Àwọn apá tí ó wà nísàlẹ̀ yà ọ̀nà méjì náà sọ́tọ̀, lẹ́yìn náà wọ́n dán wọ́n wò ọ̀kọ̀ọ̀kan.

Tabili ibùdó kò ní ìlà fún nọ́mbà ìlànà

PPTP ń lo ìjíròrò méjì tí wọ́n kùnà ní ọ̀nà oríṣiríṣi. Èyí tí ó wà lórí TCP 1723 bẹ̀rẹ̀ ìpè, ó ń gbé ìsọfúnni ìsopọ̀ kọjá, ó sì ń ya a kuro nígbà tí olùlò bá jáwọ́. Ẹ̀gbẹ́ ẹrù ń ṣiṣẹ́ nínú GRE, èyí tí orí IP ń fi nọ́mbà ìlànà 47 sàmì sí, àti nínú ọ̀nà yẹn PPP ń jíròrò ìsopọ̀ nígbà tí MS-CHAPv2 ń yẹ àwọn ẹ̀rí wò.

Nítorí GRE kò gbé orí ìrìnàjò kankan, kò fi ibùdó kankan hàn, nítorí náà òfin tí a kọ fún ibùdó kò ní ohun tí yóò bá mu. Rọuta tí ó ń fi 1723 ránṣẹ́ ń dá àwòrán fún ìpàdé TCP yẹn, ó sì dúró níbẹ̀. Fọ́mùwéà tí ó ń bójú tó ìdajì kejì ń pe ẹ̀yà yìí ní PPTP passthrough tàbí PPTP ALG, fọ́mùwéà kan kò sì pèsè èyíkéyìí nínú wọn, wọn kò sì ka àlàfo yìí rara. Àmì tí ó wà lórí àpótí yíyàn kò ṣe pàtàkì bí a ti mọ ìlànà 47 rárá.

Kí ni Windows ń ròyìn nígbà tí ọ̀nà dátà bá kú

Aṣìṣe 807 sọ pé a kò lè parí ìsopọ̀ náà, èyí tí ó túmọ̀ sí ní ìṣe pé ìpè náà dé ọ̀dọ̀ sẹ́bà ṣùgbọ́n ọ̀nà dátà kò dìde. Ìdájọ́ ni lórí ìrìnàjò, kì í ṣe lórí àkọsílẹ̀. Aṣìṣe 691 ni èyí tí ó ń tọ́ka sí ẹ̀rí tàbí àìbáramu ìlànà ìjẹ́rìí, nítorí náà ó ń gbé ọ lọ sí ibòmíì pátápátá.

Ṣiṣẹ́ lórí ìrìnàjò kí o tó fi ọwọ́ kan ọ̀rọ̀ ìkọ̀kọ̀. Yíyí ẹ̀rí padà láti lépa 807 ń fi àbùkù gidi náà sí ibi rẹ̀, ó sì ń jẹ́ kí ìgbìyànjú tí ó tẹ̀lé kó ṣòro láti kà.

Ìdí tí olùlò kejì fi ń ba ọ̀nà tí ń ṣiṣẹ́ jẹ́

Láìsí ibùdó láti yà wọ́n sọ́tọ̀, ẹ̀rọ NAT kò lè yà olùlò PPTP méjì sọ́tọ̀ bí ó ti ń yà ìpàdé HTTPS méjì sọ́tọ̀. Nítorí náà ọ̀pọ̀ ẹ̀rọ olùmúlò ń gba ìpè PPTP kan ṣoṣo láyè, wọ́n sì ń tọpinpin rẹ̀ nípasẹ̀ àdírẹ́sì orísun. Kọ̀mpútà gbé-èrùkù tí ó ṣiṣẹ́ nìkan dúró parí nígbà tí ẹ̀rọ kejì bá pè, àti ní ẹ̀gbẹ́ olùlò ìkùnà náà dàbí àìdánilójú. Àpẹẹrẹ yẹn jẹ́ ti fọ́mùwéà, kò sì sí ìyípadà profáìlì tí yóò yí i padà.

Wo tábìlì ìsopọ̀ nígbà tí àwọn olùlò méjèèjì ń pè. Bí ó bá jẹ́ pé olùgba àkọ́kọ́ nìkan ni ó ní àwòrán nígbà gbogbo, rọuta ti dé ààlà ohun tí ó ń ṣe àtìlẹ́yìn fún, kò sì sí ètò ní ẹ̀gbẹ́ olùlò tí yóò gbé e.

Fi hàn ìdajì wo ni ó ń kùnà

Jẹ́rìí sí i pé TCP 1723 ń dé kí o tó yí ohunkóhun padà lórí rọuta, nítorí ìdáhùn yẹn ni ó ń pinnu ìdajì tí o ń dán wò. Ṣe wọ́n láti ọ̀dọ̀ olùlò Windows lòdì sí orúkọ sẹ́bà tìrẹ. Èkíní ń tẹ̀ jáde bóyá ibùdó náà dáhùn, èkejì sì ń pè láìsí àpótí ìjíròrò, èyí tí ó ń jẹ́ kí àwọn ìgbìyànjú àtúnṣe lè fi wéra.

Test-NetConnection vpn.example.com -Port 1723
rasdial "Work VPN"

Èsì gidi nínú ìdánwò ibùdó túmọ̀ sí pé ọ̀nà ìṣàkóso ṣí, GRE sì ni afura tí ó kù. Èsì irọ́ túmọ̀ sí pé ìtọ́nisọ́nà, àyọ̀ kan tàbí ìfiránṣẹ́ ti bàjẹ́, kò sì sí ìyípadà GRE tí yóò gbà á. Ẹ̀gbẹ́ dátà gbọ́dọ̀ wà níbi tí a ti lè rí i, ní òpin sẹ́bà tàbí ní rọuta.

tcpdump -ni any proto 47

Ohun tí ó bá mu nínú Wireshark ni àyọ̀ ìfihàn ip proto 47, èyí tí ó rọrùn láti fi lé ẹnìkan tí kò ní ìrọ̀rùn pẹ̀lú shell lọ́wọ́. GRE tí ó dé láìsí ohunkóhun tí ó jáde gẹ́gẹ́ bí èsì túmọ̀ sí pé ọ̀nà ìpadà nílò àtúnṣe.

Kí ni ó ń tún aṣìṣe náà ṣe gan-an

Níbi tí rọuta ti fi ètò náà hàn, mú PPTP passthrough ṣiṣẹ́, tàbí gba ìlànà 47 láyè ní kedere lórí fọ́mùwéà tí ó ń gba àwọn òfin. Lórí RouterOS òfin forward ń bá ìlànà mu tààrà, èyí tí ìfiránṣẹ́ orí ibùdó kò lè ṣe láé. Fọ́mùwéà olùmúlò máa ń fi ìpinnu kan náà pamọ́ sẹ́yìn àpótí yíyàn, nígbà mìíràn lábẹ́ ètò ààbò dípò lábẹ́ ìfiránṣẹ́ ibùdó. Bí irú ìṣàkóso bẹ́ẹ̀ kò bá sí, kò sí ohun tí yóò ṣe àtúnpín ní ẹ̀gbẹ́ olùlò.

/ip firewall filter add chain=forward protocol=gre action=accept
/ip firewall filter print where protocol=gre

Yíyí PPTP padà ni àṣàyàn mìíràn, ó sì sábà wà ní owó tí ó kéré. Rọuta tí ó ń parí VPN fúnra rẹ̀ yẹra fún NAT ìlọ́po méjì fún àwọn olùlò tí ó ń wọlé, ìlànà tí NAT orí ibùdó ti ń bójú tó tẹ́lẹ̀ kò sì nílò passthrough rárá: OpenVPN lórí UDP, SSTP lórí TCP 443, tàbí L2TP/IPsec pẹ̀lú NAT-T tí ó fi ESP wé nínú UDP 4500. PPTP tún gbẹ́kẹ̀ lé MS-CHAPv2, àwọn àìlera rẹ̀ tí a kọ sílẹ̀ sì ń jẹ́ kí ó jẹ́ àṣàyàn búburú fún ìgbékalẹ̀ tuntun pàápàá lẹ́yìn tí aṣìṣe náà bá ti lọ.

Kọ òfin wo ni ó ṣe ìyàtọ̀ náà sílẹ̀, nítorí ibi kan náà yóò bá ààlà kan náà pàdé nígbà tí olùlò kejì bá béèrè fún àǹfààní. Àtúnṣe ní ìpele ìlànà yẹ kí ó wà nínú àwọn àkọsílẹ̀ nẹ́tíwọ́kì, níbi tí a ti oko ẹlẹ́rọ̀ tó tẹ̀lé yóò wò.