Igbese VPN wo ni o kuna: IPsec, iṣakoso L2TP tabi ìjẹ́rìí PPP

O yí ọ̀rọ̀ ìpamọ́ padà, kò sì sí ohun tó gbé, nítorí àṣìṣe kò sí nínú PPP rárá. L2TP/IPsec ń ròyìn àṣìṣe ìsopọ̀ kan fún ìfàṣẹ́ márààrún tí ó yàtọ̀ pátápátá, ìkọ̀ọ̀kan sì ní àtúnṣe tirẹ̀. Ṣiṣẹ́ lọ́nà ìdíwọ̀n: wa igbese aṣeyọri ikẹhin kí o sì yí ohun tí ó wá lẹ́yìn rẹ̀ nikan padà. Ìtẹ̀léle nísàlẹ̀ tún pinnu irú ẹ̀rí tí wàá kó kọ́kọ́.

Dáhùn àwọn ìbéèrè mẹ́rin lẹ́sọ̀ọ̀sẹ̀

Fipá mú ìgbìyànjú tuntun, nítorí àwọn kán kì í fi àṣìṣe àtijọ́ pamọ́ títí wọn yóò fi yọ pọ́fáìlì kúrò tí wọn yóò sì tún so pọ̀. Lẹ́yìn náà dáhùn èyí: ṣé ìsopọ̀ ààbò IPsec wà, ṣé ìsopọ̀ ìṣàkóso L2TP àti ìpè farahàn, ṣé PPP dé ìdájọ́ ìjẹ́rìí, àti ṣé IPCP fún alábàákẹ́gbẹ́ ní àdírẹ́sì? Rárá àkọ́kọ́ ni igbese tí ìwọ ń túnṣe. Ohun gbogbo tí ó tẹ̀lé kò tí ì wà ní àyẹ̀wò, nítorí náà orúkọ olùṣàmúlò tí a kọ̀ kò fi ohunkóhun hàn nígbà tí ìsopọ̀ kò sí rí.

Mú àwọn aago ní ìparí méjèèjì bá ara wọn mu kí o tó fi wé. Ìgbìyànjú tí ó fọ́ IPsec mọ́ tí ó sì kùnà ní PPP dà bí àṣìṣe kan nígbà tí alábàákẹ́gbẹ́ ń fi ìhìn ikẹhin hàn nìkan tí àkọsílẹ̀ olùpèsè sì ṣì ń pa ìgbìyànjú àtijọ́ mọ́. Ka nípa àmì àkókò, kì í ṣe nípa ìlà tí ó gbó jù.

Nígbà tí o bá ní àwòrán ojú-ìwé olùṣàmúlò nìkan, gbára lé ìpín tí ó rọ̀ jù: kọ́kọ́rọ́ tí a pín tẹ́lẹ̀ tí kò tọ́ àti xl2tpd tí kì í dáhùn rárá ń mú ọ̀rọ̀ kan náà jáde nínú àpótí ìjíròrò Windows, ṣùgbọ́n ọ̀kan nílò àṣírí tí a yí ní ìparí méjèèjì, èkejì sì nílò daemon tí a ti gbé jáde tàbí òfin odi iná lórí olùpèsè fúnra rẹ̀. Ẹ̀rọ tí ó wà ní àárín kò lè ju 1701 inú sílẹ̀ lẹ́yìn tí IPsec ipò gbígbé ti wé e, nítorí náà má wá àlẹ̀mọ́ ipa ọ̀nà tí kò sí.

Ohun tí ẹya kọ̀ọ̀kan ní ní ti gidi

IPsec ń dáàbò bo àwọn pákẹ́ẹ̀tì láàrin ẹlẹgbẹ́ méjèèjì; L2TP ń gbé ìpàdé PPP nínú ipa ọ̀nà ààbò yẹn, ìdí nìyẹn tí RFC 3193 fi pàtọ̀nà ipò gbígbé dípò ojú-ọ̀nà tirẹ̀. Àmì alábàákẹ́gbẹ́ sọ L2TP, nítorí náà ojú-ọ̀nà àti ìwọlé dà bí ẹ̀rọ kan. Kì í ṣe bẹ́ẹ̀: ìsopọ̀ ìṣàkóso L2TP ń jẹ́rìí àwọn ìparí ojú-ọ̀nà níbi tí ìgbékalẹ̀ ti ń mú un ṣiṣẹ́, PPP sì ń jẹ́rìí olùṣàmúlò lọ́tọ̀ pẹ̀lú CHAP, PAP tàbí MS-CHAPv2 gẹ́gẹ́ bí ìlànà olùpèsè.

Ìpín yìí ń ṣàlàyé àwọn àṣírí méjì tí àwọn ènìyàn ń dàrú nígbà gbogbo. Kọ́kọ́rọ́ tí a pín tẹ́lẹ̀ ń jẹ́rìí àwọn ẹlẹgbẹ́ IPsec. Orúkọ olùṣàmúlò àti ọ̀rọ̀ ìpamọ́ ń dà olùṣàmúlò mọ̀ fún PPP. Kíkọ àṣírí pínpín Windows lẹ́ẹ̀kan sí i lórí pọ́fáìlì tí ń jẹ́rìí pẹ̀lú ẹ̀rí kò yí ohunkóhun padà ní igbese tí ń kùnà, àti ṣíṣe àtúnṣe ọ̀rọ̀ ìpamọ́ PPP kò lè pèsè ikanni ààbò tí ó ṣá. Ìkọ̀ra yẹn náà kan àyẹ̀wò ìdánimọ̀: má ṣe pa ìdánimọ̀ ẹlẹgbẹ́ tàbí ìjẹ́rìí ẹ̀rí mọ́ láti rí ojú-ọ̀nà, nítorí nígbà náà ipa ọ̀nà ni yóò so, kì í ṣe ẹlẹgbẹ́.

Ìjẹ́rìí kò sì ní ìparí PPP. Lẹ́yìn tí a gbà olùṣàmúlò, IPCP ń ṣe ìdúnàádúrà àdírẹ́sì alábàákẹ́gbẹ́ àti àwọn àṣàyàn DNS àti WINS tí olùpèsè ṣetán láti fúnni. Alábàákẹ́gbẹ́ lè kọjá CHAP tàbí MS-CHAPv2 kí ó sì ṣì wà láìsí àdírẹ́sì, èyí ni àṣìṣe nínú PPP kì í ṣe ìṣòro ipa ọ̀nà. L2TP lásán láìsí IPsec wà ní àṣẹ àti láìsí ààbò, nítorí náà ìsopọ̀ tí ó ṣàṣeyọrí kò fi hàn rárá pé ìrìnàjò ni ààbò; ṣàyẹ̀wò ohun tí olùpèsè ń béèrè, kì í ṣe àmì alábàákẹ́gbẹ́.

Pinnu láti igbese àkọ́kọ́ tí ó ṣá

Ka tábìlì nípa ohun àkọ́kọ́ tí ó ṣá, láti òsì sí ọ̀tún. Ọ̀wọ̀n ọ̀tún ni iṣẹ́ kan ṣoṣo tí ó tọ́ ní àkókò yẹn; ohun gbogbo ní òsì rẹ̀ ti jẹ́ ẹ̀rí tẹ́lẹ̀, àti àtúnyẹ̀wò á jo fèrèsé ìdánuṣe láì ṣe àfikún ìsọfúnni.

Ìlà mẹ́ta yẹ fún ìkìlọ̀. Ìlà 1701 ni ibi tí àwọn alábàákẹ́gbẹ́ Windows lẹ́yìn NAT sábà ń balẹ̀: ìsopọ̀ ń parí, lẹ́yìn náà kò sí ohun tí ó dé, ìdí sì ni ìkóra kì í ṣe ọ̀rọ̀ ìpamọ́ búburú. Ìlà IPCP ni èyí tí a ń kà ní àṣìṣe gẹ́gẹ́ bí ìṣòro ipa ọ̀nà, nítorí Windows ń fi àdírẹ́sì tí ó ṣá sínú àṣìṣe 720 àmì tray sì ń sọ pé ìsopọ̀ kùnà nìkan; àṣìṣe yẹn wà lẹ́yìn ìjẹ́rìí àti ṣáájú ipa ọ̀nà. Ìlà ikẹhin kì í ṣe àṣìṣe IPsec rárá, bí àmì tilẹ̀ sọ pé a ti yọ kúrò.

Àwọn pàṣẹ tí ń pín àwọn ẹya

Lórí olùpèsè Linux tí ń ṣiṣẹ́ strongSwan, swanctl --list-sas ń ṣe àkójọ àwọn ìsopọ̀ tí a ti dá pẹ̀lú ìdánimọ̀ ẹlẹgbẹ́, ipsec statusall sì ń bo àwọn olùgbàlejò strongSwan àti libreswan àtijọ́. Nísàlẹ̀ rẹ̀ ip xfrm state ń fi àwọn ìsopọ̀ gidi kernel hàn, nígbà tí ss -lunp | grep 1701 ń fi ibi tí xl2tpd so mọ́ hàn. Ṣe xl2tpd -D ní iwájú láti rí àwọn ìsopọ̀ ìṣàkóso àti ìpè bọ̀, kí o sì tan àtúpalẹ̀ pppd nínú /etc/ppp/options.xl2tpd láti rí ọ̀nà tí a dábàá àti ìdáhùn.

Nígbà tí àwọn àkọsílẹ̀ fi ìjẹ́rìí aṣeyọri hàn, ìbéèrè tí ó tẹ̀lé ni bóyá IPCP ti parí. Ṣàyẹ̀wò bóyá ip range nínú abala [lns default] ti /etc/xl2tpd/xl2tpd.conf ṣì ní àwọn àdírẹ́sì òmìnira, àti bóyá /etc/ppp/options.xl2tpd ń gbé ms-dns àti ms-wins ní ti gidi bí alábàákẹ́gbẹ́ bá ń retí wọn. Àdá tí ó tán àti àṣàyàn DNS tí ó ṣá ń hàn lọ́nà ọ̀tọ̀ lórí waya: èkíní fi alábàákẹ́gbẹ́ sílẹ̀ láìsí àdírẹ́sì pẹ̀lú 720, èkejì fúnni ní àdírẹ́sì ṣùgbọ́n kò sí olùyẹ́jú, nítorí náà àwọn orúkọ ń kùnà nígbà tí ping sí àwọn àdírẹ́sì àìtọ́ ń ṣiṣẹ́. Kò sí èyí tí a ń túnṣe nípa kíkọ ọ̀rọ̀ ìpamọ́ padà.

Lórí alábàákẹ́gbẹ́, ẹ̀rọ ìfiwéra L2TP ti NetworkManager ń kọ ìjíròrò pppd sínú ìwé àkọsílẹ̀, nítorí náà journalctl -u NetworkManager -b sábà ń ya ojú-ọ̀nà lókè, ìjẹ́rìí ti kọ̀ kúrò nínú kò sí ojú-ọ̀nà rárá. Lórí Windows, Get-VpnConnection ń ròyìn àwọn ètò ìjẹ́rìí gidi pọ́fáìlì, àwọn ìṣẹ̀lẹ̀ RasClient lábẹ́ Application nínú Event Viewer sì ń dárúkọ ẹ̀yà tí ó kùnà. Nígbà tí àpótí ìjíròrò bá ṣókùnkùn jù, tan netsh ras set tracing * enable.

Gbigbapamọ́ nílò ìṣọ́ra kan. Pẹ̀lú IPsec ipò gbígbé, UDP 1701 inú ti jẹ́ àṣírí, nítorí náà gbigbapamọ́ lórí ẹ̀yà ode ń fi ESP hàn, tàbí UDP 4500 lábẹ́ NAT-T, kò sì fi L2TP hàn rárá. Àìsí 1701 nínú gbigbapamọ́ jẹ́ ohun tí a retí, kì í sì ṣe ẹ̀rí ebute tí a dí, nígbà tí o ń ṣọ́ bóyá àwọn kíkà ESP tàbí 4500 ń gbé.

NAT, MTU àti àwọn ipa ọ̀nà: ibi tí àkópamọ́ ń tàn ọ́

NAT ń fọ àwọn ìrònú kí ohunkóhun tó jẹ́ jẹ́rìí. ESP ni ètò IP tirẹ̀, nítorí náà ẹ̀rọ tí ń túmọ̀ ń sọ ọ́ nù bí àwọn ẹlẹgbẹ́ kò bá kóra; UDP 4500 ni ó ń pèsè ìyẹn. Lórí olùpèsè Windows tí ó fúnra rẹ̀ wà lẹ́yìn olùdarí ilé tàbí ẹnubodè NAT ìkójọpọ̀, igbese IPsec ń kùnà pẹ̀lú àṣìṣe 789 títí a ó fi ṣe AssumeUDPEncapsulationContextOnSendRule ní 2 lábẹ́ kọ́kọ́rọ́ PolicyAgent tí ẹ̀rọ yóò sì tún bẹ̀rẹ̀, àṣìṣe sì ń wà ní àìlè-yàtọ̀ sí ebute tí a ti dí. Àwọn alábàákẹ́gbẹ́ lẹ́yìn NAT rọ̀rùn: nígbà tí olùpèsè bá ní àdírẹ́sì gbogbo ènìyàn, NAT-T lórí UDP 4500 ń gbé wọn, iye yẹn kò sì kópa.

Nígbà tí PPP bá ti wà lókè, MTU tí ó ní ihò dúdú ń ṣe àfarawé ojú-ọ̀nà tí ó kú: àwọn pákẹ́ẹ̀tì kékeré ń kọjá, ìfọwọ́sowọ́pọ̀ TLS tàbí gbígbé ojú-ìwé ń rọ̀, alábàákẹ́gbẹ́ sì lè ṣì fi hàn pé ó so pọ̀. Sọ MTU ẹ̀yà sílẹ̀ tàbí dín MSS kù ní ẹnubodè kí o tó dá olùpèsè lẹ́bi. Ìdarí ojú-ọ̀nà tí a pín ni ẹlẹ́tàn kejì; àwọn ẹ̀ka nẹ́tíwọ́kì tí a ti pọ̀ sí pẹ̀lú bọ́ọ̀dù tí kò tọ́ ń fi ojú-ọ̀nà sílẹ̀ ní àlàáfíà àti ètò kan tí a kò lè dé. Orúkọ ẹ̀rọ àdáni ń fi ìgbésẹ̀ tirẹ̀ kún un: bí ìbéèrè bá jáde nípasẹ̀ olùyẹ́jú àdúgbò, orúkọ kò yẹ́jú kí a tó dán ipa ọ̀nà kankan wò.

Àkójọ àyẹ̀wò kí o tó fọwọ́ kan àwọn ẹ̀rí ìdánimọ̀

Ṣiṣẹ́ lórí àkójọ náà lẹ́sọ̀ọ̀sẹ̀ kí o sì dúró ní ohun àkọ́kọ́ tí ó kùnà. Ìgbésẹ̀ kọ̀ọ̀kan rọ̀, ìkọ̀ọ̀kan sì ń yọ gbogbo ẹ̀ka àtúnṣe kúrò.

1. Jẹ́rìí pé ìsopọ̀ wà ní ìparí méjèèjì, tí a fi ìdánimọ̀ ẹlẹgbẹ́ wé kì í ṣe àmì tí ó so pọ̀.
2. Jẹ́rìí pé UDP 1701 dé xl2tpd; ìsopọ̀ láìsí ìpè ni àṣìṣe rẹ.
3. Ka ìdájọ́ PPP àti, bí ó bá jẹ́rìí, èsì IPCP, kí o tó rò pé ọ̀rọ̀ ìpamọ́ kò tọ́.
4. Nísisinsìyí ni kíkọ àwọn ẹ̀rí ìdánimọ̀ padà ní ọ̀nà tí olùpèsè ń retí, nítorí àfikún ìkànpamọ́ ń yí àkọsílẹ̀ padà.
5. Bí ó bá ṣì kùnà, gba ìparí méjèèjì pẹ̀lú àmì àkókò tí ó bá ara wọn mu kí o sì fi wé ní ìgbésẹ̀ dé ìgbésẹ̀.

Dídúró ní ìgbésẹ̀ kejì túmọ̀ sí ìṣòro ipa ọ̀nà tàbí ìkóra, kò sí àtúnṣe ọ̀rọ̀ ìpamọ́ tí yóò gbé e. Dídúró ní ìgbésẹ̀ kẹta túmọ̀ sí pé àkọsílẹ̀ ti dárúkọ ọ̀nà tàbí àdá àdírẹ́sì tí a gbọ́dọ̀ túnṣe. Bí ó tilẹ̀ rí bẹ́ẹ̀, ìyípadà tí ó tẹ̀lé ni èyí tí ìwọ lè gbèjà, ìwọ sì dáwọ́ yíyí nínú àwọn ètò tí kò kópa rárá.