PPTP server lẹyin routa ile: tun 1723 ati GRE ṣe kọkọ

PPTP lẹyin routa ile kuna ni ọna meji ti ko ni ibatan, ati didapọ wọn n gba gbogbo irọlẹ. Ikan iṣoro ni aaye ninu gbigbe: routa n gba TCP 1723 kọja o si n ju ilana IP 47 silẹ, nitorina alabara duro lori aṣiṣe 619. Ekeji ni iṣoro iwọn: tunnel goke, o jẹri, lẹhinna o di nigba ti package iwọn kikun ba ni lati kọja. Mimo eyi ti o ni ninu awọn meji ni igbesẹ akọkọ gidi; iyoku n ṣe afiwe ohun ti routa rẹ le sọ, kii ṣe ami ti o dara julo.

Awọn ẹru meji, ati ọkan nikan ni o ni ebute

PPTP pin si awọn ẹru meji: asopọ iṣakoso lori TCP 1723, ati awọn fireemu PPP ti a fi sinu GRE ti o gbooro, eyini ni ilana IP 47. GRE ko ni nọmba ebute, nitorina ofin ti a kọ bi gbigbe ebute 1723 ko le bo o, bi oju-iwe webu ba pe aaye yẹn ni ohunkohun. Routa ile maa n fun apoti ti a n pe ni irekọja PPTP dipo ofin ilana, apoti yẹn si ṣe iṣẹ meji: o jẹ ki ilana 47 kọja odi ina, o si kọ NAT lati tẹle ṣiṣan GRE. Lori routa Linux awọn iṣẹ yẹn jẹ module ọtọtọ ati ofin ọtọtọ, nitorina irekọja ti a gbe kalẹ lori idaji tun fun ipa ọna iṣakoso to n ṣiṣẹ. Wadi idaji wo ni o wa ki o to yi ohunkohun pada.

Odi ina ti server tikararẹ gbọdọ tun gba ilana 47 lati adirẹsi routa. Odi ina host ti o gba 1723/tcp nikan n tun aṣiṣe 619 ṣe lati inu LAN, eyi ti o jẹ ki gbigbe ti o bajẹ ati ofin host ti o bajẹ dabi ọkan.

sudo iptables -S FORWARD | grep -i gre
sudo nft list ruleset | grep -i gre
lsmod | grep -E 'nf_conntrack_proto_gre|nf_nat_proto_gre'

Ti awọn module ko ba si, fi sudo modprobe nf_conntrack_proto_gre nf_nat_proto_gre gbe wọn wọle ki o si jẹ ki gbigbe yẹn wa titi lai, nitori atunbẹrẹ ti o gbagbe oluranlọwọ yoo tun sọ tunnel to n ṣiṣẹ pada si aṣiṣe 619. Ofin gbigbe gbọdọ gba ilana 47 nikan si adirẹsi server, kii ṣe gbogbo LAN. Itumọ ninu RFC 2637 ya ipa ọna iṣakoso kuro ninu ipa ọna data, nitorina ko si iboju gbigbe ebute kan ti o ṣalaye PPTP ni kikun.

Apoti irekọja tabi ofin ilana ti o han gbangba

Apoti irekọja ti o n ṣi odi ina nikan sunmọ ohun ti o tọ ju ALG ti n tun awọn idanimọ ipe kọ. Idaji odi ina jẹ asọtẹlẹ, nitori ilana 47 yoo gba tabi ju silẹ, awọn kika si sọ eyi ti o jẹ. Idaji atunkọ ni ibi ti awọn olupilẹṣẹ yatọ, nitori awọn idanimọ ipe PPTP jẹ ti tunnel kọọkan ati NAT ti n ṣatunṣe wọn gbọdọ tẹle gbogbo ipe ti o fọwọkan. Nigba ti alabara kan sopọ ti meji ko sopọ, ALG ni afurasi akọkọ.

Ofin NAT ibi-afẹde fun 1723 tun ni iṣoro nini. Ti ofin atijọ ba tun n fi 1723 ranṣẹ si host ti o ti da server duro, awọn package yoo ṣubu lori ebute ti o ti pa ati iṣẹ PPTP ti routa tikararẹ yoo da idahun duro, eyi ti a ka bi ikuna odi ina ṣugbọn ni otitọ ibi-afẹde ti kọja. Ka ofin ati ibi-afẹde rẹ ki o to fi keji kun. Lori awọn routa ti wọn tikarawọn n pari PPTP, ofin WAN n dije pẹlu iṣẹ ti o wa ninu, nitorina yan oluwa kan fun 1723 ati ilana 47.

Awọn alabara meji lẹyin NAT kan ni ipo ti o ya gbigbe ti o rọrun kuro ninu ti o gbon. Gbigbe ilana 47 lai tun awọn idanimọ ipe kọ maa n huwa dara ju oluranlọwọ ti n gbiyanju lati tọ wọn.

Wọn tunnel ki o to da routa lẹbi

PPTP dinku ẹru ti o wulo, ati idinku yẹn jẹ iṣiro, kii ṣe ohun ijinlẹ. Gbogbo package tunnel gbe ori IP ode, ori GRE ti o gbooro, ori PPP ati, pẹlu fifi ọrọ pamọ, ori MPPE. Nigba ti ọna ko le gbe fireemu ti o jade, awọn package kekere n kọja, iwọle n pari, ati igba yoo da ni igba akọkọ ti gbigbe faili tabi ifọwọsi TLS ba fi package iwọn kikun ranṣẹ.

Ṣe iṣiro nọmba naa dipo ki o ṣe akiyesi. GRE ti o gbooro gba baiti 8, PPP gba 4, MPPE gba 4, ati ori IP ode gba 20, nitorina tunnel n jẹ baiti 36 ki ẹru eyikeyi to de. Lori WAN PPPoE ti o pari ni 1492, PPP MTU ti o tobi julọ ti o wọle ni 1492 yọ 36, eyini ni 1456. Fi mtu ati mru si iye yẹn ninu awọn aṣayan PPP ki o tun gbiyanju pẹlu ping lai pin.

ping -M do -s 1464 198.51.100.7
grep -E '^(mtu|mru)' /etc/ppp/options.pptpd

Ping n wọn ọna, kii ṣe tunnel: ẹru baiti 1464 pẹlu ori IP ati ICMP baiti 28 n kun fireemu baiti 1492 gangan. Ti ping yẹn ba kuna, sọ nọmba naa dinku titi yoo fi kọja ki o si yọ 36 kuro ninu abajade. MTU tunnel ti a gbe ju opin ọna lọ n mu didi wa lai si ila log kan ti o mẹnuba iwọn.

PPTP, L2TP/IPsec tabi OpenVPN lori routa kan

Routa kanna le gbe eyikeyi ninu awọn tunnel mẹta ti o wọpọ, iyatọ si ni ohun ti o gbọdọ sọ. PPTP nilo ofin meji ni ipele meji ti o yatọ. L2TP lori IPsec nilo UDP 500 ati 4500 fun paṣipaarọ kọkọrọ ati, ti NAT-T ko ba gbe e, ilana 50 fun ẹru. OpenVPN nilo ebute UDP kan ati ko nilo oluranlọwọ rara.

Ọwọn L2TP kii ṣe ọrẹ si GRE laifọwọyi. ESP jẹ ilana IP 50 ati pe ko ni ebute, nitorina routa ti o ni iṣoro pẹlu ilana 47 le ni iṣoro pẹlu ilana 50 fun idi kanna. NAT-T wa lati fi ESP sinu UDP 4500, ati nigba ti awọn ẹgbẹ mejeeji ba ṣe atilẹyin, ofin ilana 50 di aisini. Iyẹn jẹ ẹya ti awọn ẹgbẹ, kii ṣe ti apoti PPTP routa. Jẹrisi iru ẹwọ ti alabara gba gangan ki o to kọ ofin fun awọn mejeeji.

OpenVPN ni aṣayan ti o ni awọn ẹya gbigbe ti o kere julọ ni ẹgbẹ routa. Ebute UDP kan, gbigbe kan, ko si oluranlọwọ titele asopọ ati ko si atunkọ idanimọ ipe. Paṣipaarọ naa ni alabara ti o gbọdọ fi sori ẹrọ dipo olupilẹṣẹ ti o wa ninu, ati nigbagbogbo iyẹn ni idi kan ṣoṣo ti PPTP fi wa ninu ijiroro.

Ohun ti o yẹ ki a tọjú ati ohun ti o yẹ ki a rọpo

Titọjú gbigbe ati MTU n fun ọ ni tunnel ti o n ṣiṣẹ, kii ṣe eyi ti o yẹ ki o tọju. Ijẹrisi MSCHAPv2 ti PPTP ti jẹ ikọlu fun awọn ọdun, ati tunnel ti o n ṣiṣẹ n gbe awọn ẹri ti a le gba pada lai ori ayelujara. Ti ẹrọ ti o jinna ba le ṣiṣẹ L2TP/IPsec tabi OpenVPN, wo atunṣe naa bi igbesẹ igba diẹ ti o ni ọjọ.

Ipinnu da lori ohun ti ẹgbẹ ti o jinna ṣe atilẹyin ati bi eto naa yoo pẹ to. Ẹrọ atijọ ti o n sọ PPTP nikan gba atunṣe; ohunkohun ti o le fi alabara sori ni a maa gbe lọ.

Ki o to pa tikẹti naa, jẹrisi pe alabara farada gbigbe nla kii ṣe iwọle nikan, ati pe routa tun di ofin ilana 47 mu lẹyin atunbẹrẹ. Tunnel ti o kọja ẹda faili kan ti o si ku lẹyin imudojuiwọn firmware ti o tẹle ko pari rara.