Tunnel VPN kìí sopọ̀ rárá: ibi tí àwọn pákẹ́tì ń dúró gan-an

Olùgbà á máa gbìyànjú leralera, àkọsílẹ̀ á dúró kí ìfọwọ́sowọ́pọ̀ tó parí, server kò sì ṣe àkọsílẹ̀ kankan. Ọ̀nà yẹn yí àfiyèsí padà kúrò lọ́dọ̀ àwọn ẹ̀rí ìdánimọ̀, ó sì tọ́ka sí ipa ọ̀nà: nnkan kan láàárín ẹ̀gbẹ́ méjèèjì kọ̀ láti gbé ìlànà tí tunnel nílò. Pinnu ibi tí àwọn pákẹ́tì ń dúró kí o tó fi ọwọ́ kan èyíkéyìí nínú àwọn ìṣètò méjèèjì, nítorí ìlànà tí a ṣe àyọkùrò àti ọ̀rọ̀ ìkọ̀kọ̀ tí kò tọ́ ń mú irú àṣìṣe ọ̀wọ́ kan náà jáde nínú ọ̀pọ̀lọpọ̀ olùgbà. A ṣètò àwọn ìdánwò ní ìbámu pẹ̀lú iye owó, èyí tí ó kéré jù lákọ̀ọ́kọ́.

Fi hàn ibi tí ìrìnàjò ń dúró

Gba àkọsílẹ̀ lẹ́ẹ̀kan náà ní ojú-ọ̀nà àbájáde olùgbà àti ní server. Fi èyí tí ó jáde wé èyí tí ó dé, kí o sì ṣàkọsílẹ̀ ẹ̀gbẹ́ tí ìyàtọ̀ náà ń farahàn.

Kò sí nnkan ní server túmọ̀ sí pé ipa ọ̀nà tabi NAT àkọ́kọ́ ń ju ìrìnàjò nù, nígbà tí àwọn dídé láìsí ìdáhùn ń tọ́ka sí odi iná lórí server tabi ipa ọ̀nà ìpadà tí kò sí. Router tí ó máa ń parí àwọn tunnel léralera kìí máa pa àkọsílẹ̀ tí ó wúlò mọ́, nítorí náà àkọsílẹ̀ gbígbà náà fúnra rẹ̀ di ìwé-ẹ̀rí. Kọ ibi-ìkọ̀kọ̀ àfojúsùn àti nọ́mbà ìlànà sílẹ̀, nítorí àwọn ìkùnà méjèèjì ń farahàn bákan náà nínú àpótí ìjíròrò olùgbà.

PPTP kú láìsí ìlànà 47

PPTP gbé ìṣàkóso lórí TCP 1723 àti dátà rẹ̀ nínú GRE, èyí tí í ṣe ìlànà IP 47 kì í ṣe nọ́mbà ibi-ìkọ̀kọ̀. Gbígbé 1723 nìkan fúnni ní èsì àtẹ̀yìnwá: ìsopọ̀ náà ń jẹ́rìí sí ara rẹ̀, lẹ́yìn náà ó dakẹ́, nítorí kò sí ìlànà fún ìlànà tí ó gbé ẹrù náà. Olùgbà kò lè yà á sọ́tọ̀ kúrò nínú ọ̀rọ̀ ìkọ̀kọ̀ tí a kọ̀, nítorí náà àkọsílẹ̀ gbígbà gbọ́dọ̀ wá kí àwọn àtúnṣe ìṣètò tó dé.

Pásítíú ń ṣiṣẹ́ ní ẹ̀gbẹ́ òdìkejì ti gbígbé wọlé, firmware sì ń lo àmì kan náà fún méjèèjì lọ́pọ̀ ìgbà tó láti da gbogbo ènìyàn rú. Lórí olùgbà Linux, odi iná àdúgbò lè ju GRE nù tipẹ́tipẹ́ kí router tó kópa, nítorí náà ìlànà 47 nílò ìlànà tirẹ̀, a sì gbọ́dọ̀ gbé olùrànlọ́wọ́ conntrack wọlé. ufw ti Ubuntu ń pa àwọn ìlànà wọ̀nyí mọ́ nínú fáìlì before, nítorí àwọn ìlànà allow láṣelẹ̀ kò lè ṣàlàyé nọ́mbà ìlànà. Lẹ́yìn náà gbé odi iná wọlé lẹ́ẹ̀kan sí i dípò kí o tún ẹ̀rọ náà bẹ̀rẹ̀.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP àti IPsec lẹ́yìn NAT méjì

L2TP nínú IPsec nílò UDP 500 fún pàṣípààrọ̀ kọ́kọ́rọ́, UDP 4500 nígbà tí a bá ṣàwárí NAT, àti ESP gẹ́gẹ́ bí ìlànà 50. A ń ṣe àyọkùrò ọ̀kọ̀ọ̀kan wọn lọ́tọ̀ọ̀tọ̀, nítorí náà ìlànà tí ó gbà ọ̀kan kò fi nnkan kankan hàn nípa àwọn méjì yòókù. Router méjì ní ìtẹ̀lé ń túmọ̀ pákẹ́tì kọ̀ọ̀kan lẹ́ẹ̀mejì, àwọn ẹ̀gbẹ́ kò sì fohùn ṣọ̀kan mọ́ nípa ohun tí wọ́n dúnàádúrà.

Ṣe afárá modem òde, tabi pa NAT ní router inú, kí àdírẹ́sì gbangba lè dé ọ̀dọ̀ ẹ̀rọ tí ó ń parí tunnel. Níbi tí èyíkéyìí kò bá ṣeé ṣe, a gbọ́dọ̀ bẹ̀rẹ̀ tunnel láti inú ààlà NAT méjì, kì í ṣe láti parí níbẹ̀.

Àwọn nẹ́tíwọ́kì olùpèsè àti pínpín àdírẹ́sì

Àdírẹ́sì WAN tí ó wà nínú 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 tabi 100.64.0.0/10 túmọ̀ sí pé router kò ní àdírẹ́sì gbangba, kò sì sí gbígbé wọlé kankan láti íńtánẹ́ẹ̀tì tí ó lè dé ọ̀dọ̀ rẹ̀. NAT ní ìpele olùpèsè tún ń ṣe àyọkùrò àwọn ìlànà tí kò retí, GRE sì máa ń di ẹni tí a pa ní àwọn ìsopọ̀ alágbèéká. Fi àdírẹ́sì WAN lórí router fúnra rẹ̀ wé, kì í ṣe àdírẹ́sì tí ojú-ìwé wíwá ń sọ fún olùgbà tí ó wà lẹ́yìn rẹ̀.

Ṣíṣe router kan náà lórí ilà aláwọ̀ túmọ̀ àwárí nípa olùpèsè kúrò nínú àṣìṣe ìṣètò pẹ̀lú ìdánwò kan ṣoṣo. Níbi tí olùpèsè kọ̀ ìlànà náà, àwọn àṣàyàn tí ó kù ni gbígbé mìíràn lórí 443 tabi tunnel tí a bẹ̀rẹ̀ láti inú.

Ka àkọsílẹ̀ àwọn olùgbọ́rọ̀ kí o tó ti ibi-ìkọ̀kọ̀

Ṣíṣàyẹ̀wò ibi-ìkọ̀kọ̀ tí ń da àníyàn kìí ṣe nnkan ju ẹ̀ka ẹ̀yà tí ó wá pẹ̀lú ìmúṣiṣẹ́. Ṣe àkọsílẹ̀ àwọn olùgbọ́rọ̀, so gbogbo socket mọ́ ẹ̀yà kan, lẹ́yìn náà pa ẹ̀yà náà dípò dídènà ibi-ìkọ̀kọ̀, kí àwọn ojú wo méjèèjì má bàa yà sọ́tọ̀.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

Àwọn àìpè SoftEther jẹ́ àpẹẹrẹ tí ó dára: TCP 443, 992 àti 5555, pẹ̀lú àwọn ẹ̀yà L2TP/IPsec àti tunnel DNS tí ń fi socket tiwọn kún. Pípa àwọn ẹ̀yà yẹn ń yọ àwọn olùgbọ́rọ̀ kúrò dípò fífi wọ́n pamọ́, ìdánwò láti ẹ̀rọ òde sì sọ bóyá olùpèsè ń jẹ́ kí ibi-ìkọ̀kọ̀ kọjá rárá. Olùgbọ́rọ̀ tí ó ń dáhùn ní àdúgbò lè ṣì wà ní títì lókè, nítorí náà fi àdírẹ́sì WAN router fúnra rẹ̀ wé ohun tí iṣẹ́ òde ń ròyìn.