সিসকো ভিপিএন-এর সাথে সংযুক্ত থাকাকালীন কীভাবে স্থানীয় ল্যান অ্যাক্সেসের অনুমতি দেওয়া যায়?

82

সিসকো ভিপিএন-এর সাথে সংযুক্ত থাকাকালীন আমি কীভাবে স্থানীয় ল্যান অ্যাক্সেস বজায় রাখতে পারি?

সিসকো ভিপিএন ব্যবহার করে সংযোগ করার সময়, সার্ভারের স্থানীয় ল্যান অ্যাক্সেস রোধ করতে ক্লায়েন্টকে নির্দেশ দেওয়ার ক্ষমতা থাকতে হবে।

এই সার্ভার-সাইড বিকল্পটি বন্ধ করা যাবে না ধরে নেওয়া, সিসকো ভিপিএন ক্লায়েন্টের সাথে সংযুক্ত থাকাকালীন কীভাবে স্থানীয় ল্যান অ্যাক্সেসের অনুমতি দেওয়া যাবে?

আমি মনে করতাম এটি কেবল রুটগুলির সাথে যুক্ত হওয়ার বিষয় যা উচ্চতর মেট্রিকের সাথে ল্যান ট্র্যাফিক গ্রহণ করে, উদাহরণস্বরূপ:

  Network 
Destination      Netmask        Gateway       Interface  Metric
   10.0.0.0  255.255.0.0       10.0.0.3        10.0.0.3      20  <--Local LAN
   10.0.0.0  255.255.0.0  192.168.199.1  192.168.199.12       1  <--VPN Link

এবং 10.0.x.x -> 192.168.199.12রুটটি মোছার চেষ্টা করার কোনও প্রভাব নেই:

>route delete 10.0.0.0
>route delete 10.0.0.0 mask 255.255.0.0
>route delete 10.0.0.0 mask 255.255.0.0 192.168.199.1
>route delete 10.0.0.0 mask 255.255.0.0 192.168.199.1 if 192.168.199.12
>route delete 10.0.0.0 mask 255.255.0.0 192.168.199.1 if 0x3

এবং যদিও এটি এখনও কেবল একটি রাউটিং সমস্যা হতে পারে, তবুও রুটগুলি যুক্ত করার বা মুছতে চেষ্টা ব্যর্থ হয়েছে।

সিসকো ভিপিএন ক্লায়েন্ট ড্রাইভার কোন স্তরে নেটওয়ার্কিং স্ট্যাকের মধ্যে এমনটি করছে যা তাদের মেশিন পরিচালনার জন্য স্থানীয় প্রশাসকের ক্ষমতা ওভাররাইড করে?

সিসকো ভিপিএন ক্লায়েন্ট জাদু ব্যবহার করতে পারে না। এটি এখনও আমার কম্পিউটারে চলছে সফ্টওয়্যার। এটি আমার মেশিনের নেটওয়ার্কে হস্তক্ষেপ করার জন্য কোন প্রক্রিয়া ব্যবহার করছে? কোনও আইপি / আইসিএমপি প্যাকেট নেটওয়ার্কে এলে কী ঘটে? কোথায় নেটওয়ার্কিং স্ট্যাক প্যাকেট খাওয়া হয়?

আরো দেখুন

সম্পাদনা করুন: যে জিনিসগুলি আমি এখনও চেষ্টা করি নি:

>route delete 10.0.*

আপডেট: যেহেতু সিসকো তাদের পুরানো ক্লায়েন্টকে অ্যানি কানেক্টের (এইচটিটিপি এসএসএল ভিত্তিক ভিপিএন) পক্ষে রেখেছিল, তাই এই প্রশ্নটি, অমীমাংসিত, ইতিহাসের একটি চিহ্ন হিসাবে ছেড়ে যেতে পারে।

এগিয়ে গিয়ে আমরা তাদের নতুন ক্লায়েন্টের সাথে একই সমস্যাটি সমাধান করার চেষ্টা করতে পারি ।

cisco-vpn-client 
— আয়ান বয়ড
সূত্র
1
ভিপিএন লিংকের একটি কম মেট্রিক রয়েছে এবং এটি আপনার স্থানীয় রুটের আগে চেষ্টা করা হয়েছে। আপনার স্থানীয় ল্যানের মেট্রিক বাড়ানো সম্ভবত আপনার স্থানীয় ল্যান অক্ষম করতে চলেছে। ভিপিএন যদি আপনার বাড়ির সাবনেটটি স্যুইচ করে সমস্ত ট্র্যাফিকটি সুড়ঙ্গ করতে কনফিগার করা না থাকে তবে এটি সমাধান হতে পারে। এই ভিপিএন এর মাধ্যমে আপনার আইপি কী কী অ্যাক্সেস করতে হবে? এটি কি ভিপিএন পক্ষের পুরো 10.0.0.0?
— pberlijn
মনে হচ্ছে এটি খুব ভাল সমস্যা হতে পারে; আমি মেট্রিক উচ্চতর = আরও ভাল বলে মনে করেছি ।
— ইয়ান বয়ড
1
— জোনাথন রাইনহার্ট 20'14
2
তখন Cisco Anyconnect OpenConnect বিকল্প বেশিরভাগই সামঞ্জস্যপূর্ণ এ বর্ণিত ক্লায়েন্ট সঙ্গে প্রতিস্থাপিত হতে পারে serverfault.com/a/664097/104573
— Vadzim

উত্তর:

53

যেকোন সংযোগের সমস্যাটি হ'ল এটি প্রথমে রাউটিং টেবিলটি সংশোধন করে, তারপরে এটি বেবিসিত করে এবং আপনাকে ম্যানুয়ালি সংশোধন করা উচিত তবে এটি ঠিক করে দেওয়া হয়। আমি এটির জন্য একান্ত চেষ্টা করেছি। সংস্করণ 3.1.00495, 3.1.05152, 3.1.05170, এবং সম্ভবত 3.1 পরিবারে অন্য কিছু নিয়ে কাজ করে। অন্যান্য সংস্করণগুলির সাথে কাজ করতে পারে, কোডটি নতুন করে লেখা হয় না ধরে ধরে কমপক্ষে অনুরূপ ধারণার কাজ করা উচিত। ভাগ্যক্রমে আমাদের জন্য সিসকো একটি ভাগ করা লাইব্রেরিতে বাচ্চাদের "বেবি জেগে আছে" কলটি রেখে দিয়েছে। সুতরাং ধারণাটিটি হ'ল আমরা এলপি_PRELOAD এর মাধ্যমে vpnagentd দ্বারা ক্রিয়াটি রোধ করি।

  1. প্রথমে আমরা একটি ফাইল তৈরি করি hack.c:

    #include <sys/socket.h>
#include <linux/netlink.h>

int _ZN27CInterfaceRouteMonitorLinux20routeCallbackHandlerEv()
{
  int fd=50;          // max fd to try
  char buf[8192];
  struct sockaddr_nl sa;
  socklen_t len = sizeof(sa);

  while (fd) {
     if (!getsockname(fd, (struct sockaddr *)&sa, &len)) {
        if (sa.nl_family == AF_NETLINK) {
           ssize_t n = recv(fd, buf, sizeof(buf), MSG_DONTWAIT);
        }
     }
     fd--;
  }
  return 0;
}

  2. তারপরে এটি সংকলন করুন:

    gcc -o libhack.so -shared -fPIC hack.c

  3. libhack.soসিসকো লাইব্রেরি পথে ইনস্টল করুন :

    sudo cp libhack.so  /opt/cisco/anyconnect/lib/

  4. এজেন্টকে নামিয়ে আনুন:

    /etc/init.d/vpnagentd stop

  5. সত্যই এটি নিচে রয়েছে তা নিশ্চিত করুন 

    ps auxw | grep vpnagentd

    যদি তা না kill -9হয় তবে তা নিশ্চিত হওয়া উচিত।

  6. তারপরে LD_PRELOAD=/opt/cisco/anyconnect/lib/libhack.so vpnagentd যেখানে আহ্বান করা হচ্ছে তা যুক্ত করে /etc/init.d/vpnagentd ঠিক করুন যাতে এটি দেখতে এরকম দেখায়:

    LD_PRELOAD=/opt/cisco/anyconnect/lib/libhack.so /opt/cisco/anyconnect/bin/vpnagentd

  7. এখন এজেন্ট শুরু করুন:

    /etc/init.d/vpnagentd start

  8. Iptables ঠিক করুন, কারণ যেভাবে তাদের সাথে কোনও সংযোগ যুক্ত হয়:

    iptables-save | grep -v DROP | iptables-restore

    কেবলমাত্র নির্দিষ্ট ল্যান হোস্টগুলিতে অ্যাক্সেসের জন্য আপনি এখানে আরও উন্নত কিছু করতে চাইতে পারেন।

  9. এখন আপনি যেমন ইচ্ছা তেমন রুটগুলি ঠিক করুন, উদাহরণস্বরূপ:

    route add -net 192.168.1.0 netmask 255.255.255.0 dev wlan0

  10. তারা সত্যই সেখানে আছে কিনা তা পরীক্ষা করে দেখুন:

    route -n

এই হ্যাকের পূর্ববর্তী, সহজ সংস্করণটি একটি ফাংশন দিয়েছে যা কেবল "রিটার্ন 0" করে! - যে পোস্টারটিতে উল্লেখ করা হয়েছে যে "আমি এখনও অবধি কেবলমাত্র পার্শ্ব প্রতিক্রিয়াটি পর্যবেক্ষণ করেছি যে vpnagentd 100% সিপিইউ উপরে ব্যবহার করে ব্যবহার করছে তবে সামগ্রিক সিপিইউ কেবল 3% ব্যবহারকারী এবং 20% সিস্টেম, এবং সিস্টেমটি পুরোপুরি প্রতিক্রিয়াশীল আমি এটিকে টেনেছি, মনে হয় দুটি থেকে দ্রুত নিষ্ক্রিয় হয়ে ফিরে আসার সময় এটি একটি লুপে দুটি নির্বাচন করছিল, তবে এটি কখনও পড়েন বা লেখেন না - আমি মনে করি যে এলডিপ্রেলয়েডের সাথে আমি যে কলটি কেটেছিলাম তা পড়ার কথা ছিল। কোনও ক্লিনার উপায় থাকতে পারে might এটি করার জন্য, তবে এখন পর্যন্ত এটি আমার পক্ষে যথেষ্ট। যদি কারওর থেকে আরও ভাল সমাধান থাকে তবে দয়া করে শেয়ার করুন share "

তুচ্ছ হ্যাকের সমস্যাটি হ'ল এটি একটি সিপিইউ কোরকে সর্বদা 100% করে দেয়, কার্যকরভাবে আপনার হার্ডওয়্যার সিপিইউ থ্রেডের গণনা এক দ্বারা হ্রাস করে - আপনার ভিপিএন সংযোগ সক্রিয় ছিল কিনা। আমি লক্ষ্য করেছি যে কোডগুলি যা করছিল সেগুলি নেট লিঙ্ক সকেটে ছিল, যা রাউটিং টেবিল পরিবর্তিত হলে vpnagentd ডেটা প্রেরণ করে। vpnagentd নেটলিংক সকেটে একটি নতুন বার্তা আছে তা লক্ষ্য রাখে এবং এর মোকাবেলায় রুটক্যালব্যাকহ্যান্ডলারকে কল করে, কিন্তু যেহেতু তুচ্ছ হ্যাক নতুন বার্তাটি পরিষ্কার করে না এটি কেবল বারবার ডাকা হয়ে যায়। উপরে প্রদত্ত নতুন কোডটি নেট লিঙ্কের ডেটা ফ্লাশ করে যাতে অন্তহীন লুপ যার ফলে 100% সিপিইউ ঘটে না।

যদি কিছু কাজ না করে তবে gdb -p $(pidof vpnagentd)একবার সংযুক্ত করুন:

b socket
c
bt

এবং আপনি কোন কলটিতে আছেন তা দেখুন Then তারপরে কেবল অনুমান করুন যে আপনি কোনটি কাটাতে চান, এটি হ্যাক কোডে যুক্ত করুন এবং পুনরায় সংকলন করুন।

— সাশা পাচেভ
সূত্র
4
এটি প্রতিভা। আমি এটি ওএসএক্সে কাজ করার চেষ্টা করছি এবং একটি প্রশ্ন আছে: আপনি কীভাবে জানলেন যে ওভাররাইডের পদ্ধতির নামকরণ করা হয়েছিল _ZN27CInterfaceRouteMonitorLinux20routeCallbackHandlerEv?
— অনর্থক
2
@ অনটনার চেষ্টা করুন nm /opt/cisco/anyconnect/lib/libvpnagentutilities.dylib | grep routeCallbackHandlerEvএবং তারপরে আপনি পাবেন__ZN25CInterfaceRouteMonitorMac20routeCallbackHandlerEv
— ম্যাককেলভিন
Gdb এর সাথে vpnagentd এ সংযুক্ত হয়ে এবং বিভিন্ন ব্রেকপয়েন্টগুলি সেট করে আমি এটি আবিষ্কার করেছি।
— সাশা পাচেভ
@ এমসি কেলভিন উবুন্টুর অধীনে আমার যেকোন সংযোগে nm /opt/cisco/anyconnect/lib/libvpnagentutilities.soফিরে আসে nm: /opt/cisco/anyconnect/lib/libvpnagentutilities.so: no symbols, সুতরাং এটি প্রতীক টেবিলের তথ্য ছাড়াই তৈরি করা হয়েছিল। আপনি কিভাবে এটি পেতে পারে?
— ভাগ্নে
@ সাশাপাচেভ আপনি কীভাবে কোনও প্রতীক তথ্য না দিয়ে vpnagentd ডিবাগ করতে পারবেন?
— ভাগ্নে
11

এটি খুব কনোলিউলড, তবে আপনি যদি ভিএমওয়্যার প্লেয়ার বা অনুরূপ ব্যবহার করে একটি ন্যূনতম ভিএম তৈরি করেন এবং সিসকো অ্যানি কানেক্ট সংযুক্ত ভিপিএন ক্লায়েন্টটি চালান, আপনি ভিএমওয়্যার ভার্চুয়াল নেটওয়ার্ক অ্যাডাপ্টার ব্যবহার করতে চাইলে রাউটিং সেট আপ করা সম্ভব হতে পারে, বা কেবলমাত্র ব্যবহার করতে পারেন সিসকো এসএসএল ভিপিএন এবং আপনার আসল মেশিনে / ফাইলগুলিতে "ড্রাগ / ড্রপ" ফাইলের মাধ্যমে যা কিছু সংস্থান দরকার তা অ্যাক্সেসের জন্য ভিএম

— LawrenceC
সূত্র
7

ইয়ান বয়ডের পরামর্শ অনুসারে শ্রু সফট ভিপিএন সফ্টওয়্যারও আমার জন্য কৌশলটি করেছে ।

এটি সিসকো ভিপিএন ক্লায়েন্ট প্রোফাইল আমদানি করতে পারে। আমি সিসকো ভিপিএন ক্লায়েন্ট সংস্করণ 5.0.05.0290 ব্যবহার করেছি, এবং শ্রু ভিপিএন (সংস্করণ ২.১..7) ইনস্টল করার পরে এবং সিসকো প্রোফাইল আমদানি করার পরে, শ্রু ভিপিএন সংযোগের কোনও অতিরিক্ত কনফিগারেশন (কর্পোরেট ভিপিএন) এর সাথে সংযুক্ত থাকাকালীন আমি স্থানীয় ল্যান অ্যাক্সেস করতে সক্ষম হয়েছি (বা সফটওয়্যার).

— vstrale
সূত্র
এটি অ্যান্ড্রয়েডের জন্য উপলব্ধ থাকলে আশ্চর্য হবে।
— গ্যাব্রিয়েল ফেয়ার
1
আমি 2019 এর এবং এটি কার্যকর !!!!!!
— সের্গে পোভিসেনকো
5

উপরের সুন্দর হ্যাকের জন্য সাশা পাচেভকে ধন্যবাদ ।

vpnagentdএছাড়াও করা পরিবর্তনগুলি ওভাররাইট করে রেজোলভারের সাথে মেসেজ করে /etc/resolv.conf। শেষ পর্যন্ত এর বিরুদ্ধে প্রতিযোগিতা জিতে আমি এটিকে সমাধান করেছি:

#!/bin/bash

dnsfix() {
    [ -f /etc/resolv.conf.vpnbackup ] || echo "Not connected?" >&2 || return 0 # do nothing in case of failure
    while ! diff -q /etc/resolv.conf /etc/resolv.conf.vpnbackup #>/dev/null
    do
         cat /etc/resolv.conf.vpnbackup >/etc/resolv.conf
    done
    chattr +i /etc/resolv.conf
    diff -q /etc/resolv.conf /etc/resolv.conf.vpnbackup >/dev/null 
}

while ! dnsfix
do
    echo "Retrying..."
    chattr -i /etc/resolv.conf
done

chattr -i /etc/resolv.confসংযোগ বিচ্ছিন্ন করার সময় ভুলবেন না ।

আমি উপরের রুট পদ্ধতির মতো কলব্যাকটি বাধা দিয়ে সমাধান করার চেষ্টা করছি, তবে এখনও সম্পর্কিত কলব্যাক বা পদ্ধতিটি খুঁজে পাচ্ছি না।

আপডেট 1/2: এমন এক straceপ্রকাশিত হয়েছে যা সমাধানকারী ফাইলের পরিবর্তনগুলি নিরীক্ষণ করতে এপিআই vpnagentdব্যবহার করছে inotify। সেখান থেকে নেমে গেছে উতরাই। অতিরিক্ত হ্যাক এখানে:

int _ZN18CFileSystemWatcher11AddNewWatchESsj(void *string, unsigned int integer)
{
  return 0;
}

এটি কিছুটা ওভারকিল, মঞ্জুর, কারণ এটি এজেন্টের জন্য সমস্ত ফাইল দেখা অক্ষম করে। তবে ঠিক আছে বলে মনে হচ্ছে।

নীচে ভিপিএন ক্লায়েন্ট র‍্যাপার স্ক্রিপ্ট সমস্ত কার্যকারিতা একীভূত করেছে (এই অতিরিক্ত হ্যাক অন্তর্ভুক্ত করার জন্য আপডেট হয়েছে)। chattrআর ব্যবহার / প্রয়োজন হয় না।

আপডেট 3: স্ক্রিপ্টে নির্দিষ্ট ব্যবহারকারী নাম / পাসওয়ার্ড সেটিংস। এটি এখন vpn.confনীচে বর্ণিত ফরম্যাট সহ একটি ফাইল ব্যবহার করে (এবং কেবলমাত্র রুট-অনুমতি)।

#!/bin/bash

# Change this as needed
CONF="/etc/vpnc/vpn.conf"
# vpn.conf format
#gateway <IP>
#username <username>
#password <password>
#delete_routes <"route spec"...> eg. "default gw 0.0.0.0 dev cscotun0"
#add_routes <"route spec"...> eg. "-net 192.168.10.0 netmask 255.255.255.0 dev cscotun0" "-host 10.10.10.1 dev cscotun0"

ANYCONNECT="/opt/cisco/anyconnect"

usage() {
    echo "Usage: $0 {connect|disconnect|state|stats|hack}"
    exit 1
}

CMD="$1"
[ -z "$CMD" ] && usage

ID=`id -u`

VPNC="$ANYCONNECT/bin/vpn"

dnsfix() {
    [ -f /etc/resolv.conf.vpnbackup ] || echo "Not connected?" >&2 || return 0 # do nothing in case of failure
    while ! diff -q /etc/resolv.conf /etc/resolv.conf.vpnbackup >/dev/null
    do
         cat /etc/resolv.conf.vpnbackup >/etc/resolv.conf
    done
#    chattr +i /etc/resolv.conf
    diff -q /etc/resolv.conf /etc/resolv.conf.vpnbackup >/dev/null 
}

case "$CMD" in
    "connect")
        [ $ID -ne 0 ] && echo "Needs root." && exit 1
        HOST=`grep ^gateway $CONF | awk '{print $2}'`
        USER=`grep ^user $CONF | awk '{print $2}'`
        PASS=`grep ^password $CONF | awk '{print $2}'`
        OLDIFS=$IFS
        IFS='"'
        DEL_ROUTES=(`sed -n '/^delete_routes/{s/delete_routes[ \t\"]*//;s/\"[ \t]*\"/\"/g;p}' $CONF`)
        ADD_ROUTES=(`sed -n '/^add_routes/{s/add_routes[ \t\"]*//;s/\"[ \t]*\"/\"/g;p}' $CONF`)
        IFS=$OLDIFS

        /usr/bin/expect <<EOF
set vpn_client "$VPNC";
set ip "$HOST";
set user "$USER";
set pass "$PASS";
set timeout 5
spawn \$vpn_client connect \$ip
match_max 100000
expect { 
    timeout {
        puts "timeout error\n"
        spawn killall \$vpn_client
        exit 1
    }
    ">> The VPN client is not connected." { exit 0};
    ">> state: Disconnecting" { exit 0};
    "Connect Anyway?"
}
sleep .1
send -- "y\r"
expect { 
    timeout {
        puts "timeout error\n"
        spawn killall \$vpn_client
        exit 1
    }
    "Username:"
}
sleep .1
send -- "\$user\r"
expect { 
    timeout {
        puts "timeout error\n"
        spawn killall \$vpn_client
        exit 1
    }
    "Password: "
}
send -- "\$pass\r";
expect eof
EOF
        sleep 2
        # iptables
        iptables-save | grep -v DROP | iptables-restore

        # routes
        for ROUTE in "${DEL_ROUTES[@]}"
        do
#            echo route del $ROUTE
            route del $ROUTE
        done
        for ROUTE in "${ADD_ROUTES[@]}"
        do
#            echo route add $ROUTE
            route add $ROUTE
        done

        # dns
        while ! dnsfix
        do
            echo "Try again..."
#            chattr -i /etc/resolv.conf
        done

        echo "done."
        ;;
    "disconnect")
#        [ $ID -ne 0 ] && echo "Needs root." && exit 1
        # dns
#        chattr -i /etc/resolv.conf

        $VPNC disconnect
        ;;
    "state"|"stats")
        $VPNC $CMD
        ;;
    "hack")
        [ $ID -ne 0 ] && echo "Needs root." && exit 1
        /etc/init.d/vpnagentd stop
        sleep 1
        killall -9 vpnagentd 2>/dev/null
        cat - >/tmp/hack.c <<EOF
#include <sys/socket.h>
#include <linux/netlink.h>

int _ZN27CInterfaceRouteMonitorLinux20routeCallbackHandlerEv()
{
  int fd=50;          // max fd to try
  char buf[8192];
  struct sockaddr_nl sa;
  socklen_t len = sizeof(sa);

  while (fd) {
     if (!getsockname(fd, (struct sockaddr *)&sa, &len)) {
        if (sa.nl_family == AF_NETLINK) {
           ssize_t n = recv(fd, buf, sizeof(buf), MSG_DONTWAIT);
        }
     }
     fd--;
  }
  return 0;
}

int _ZN18CFileSystemWatcher11AddNewWatchESsj(void *string, unsigned int integer)
{
  return 0;
}
EOF
        gcc -o /tmp/libhack.so -shared -fPIC /tmp/hack.c
        mv /tmp/libhack.so $ANYCONNECT
        sed -i "s+^\([ \t]*\)$ANYCONNECT/bin/vpnagentd+\1LD_PRELOAD=$ANYCONNECT/lib/libhack.so $ANYCONNECT/bin/vpnagentd+" /etc/init.d/vpnagentd
        rm -f /tmp/hack.c
        /etc/init.d/vpnagentd start
        echo "done."
        ;;
    *)
        usage
        ;;
esac
— মাওরো লেসি
সূত্র
1
আপনার নোটিফিক হ্যাক আমার নতুনফাউন্ডটি (2017-02-25) আমার যেকোন সংযোগ 3.1.14018 ইনস্টলেশনটি দিয়ে সমাধান করেছে, যার মাধ্যমে আমি কোনও নতুন টার্মিনাল উইন্ডো বা জিএনইউ স্ক্রিন খোলার সময় এটি সংযোগ বিচ্ছিন্ন হবে। এটি কোনও কারণে দেখে / বার / রান / উত্প্প দেখছে। ঠিক আছে, আর নেই, ধন্যবাদ!
— মার্টিন ডরে
খুশী হলাম। কখনও কখনও "ওভারকিল" আপনার বন্ধু হতে পারে। :-)
— মাউরো লেসি
4

আমার সংস্থা এখনও সেই ভিপিএন ব্যবহার করে। ভিপিএনসি ক্লায়েন্ট কেবল আপনাকে iptables সেটিংস সেভাবে পরিবর্তন করে:

# iptables-save
# সান জুন 17 14:12:20 2012 এ iptables-save v1.4.10 দ্বারা তৈরি
*ছাঁকনি
: ইনপুট ড্রপ [0: 0]
: পূর্বের স্বীকৃতি [0: 0]
: আউটপুট ড্রপ [0: 0]
-এ ইনপুট-এস 123.244.255.254/32 -ডি 192.168.0.14/32 -j এসিসিপিটি 
-এ ইনপুট -i টিউন-জে এসিসিপিটি 
-এ ইনপুট -i lo0 -j এসিসিপিটি
-এ ইনপুট -জে ড্রপ 
-A OUTPUT -s 192.168.0.14/32 -d 123.244.255.254/32 -j এসিসিপিটি 
-এ আউটপুট-টুন0 -জে এসিসিপিটি 
-A আউটপুট -o lo0 -j এসিসিপিটি 
-এ আউটপুট-জে ড্রপ 
সমর্পণ করা

এটি ভিপিএন ট্র্যাফিক ব্যতীত সমস্ত ফিল্টার করে।

কেবল iptables-save সহ কোনও ফাইলে ফিল্টার পান, INPUT এবং OUTPOUT অ্যাক্সেস লাইনগুলি যুক্ত করুন যা আপনার প্রয়োজনের সাথে মেলে এবং ফাইলটিকে iptables-بحال করে পুনরায় প্রয়োগ করুন।

উদাহরণস্বরূপ, 192.168.0 এ একটি স্থানীয় নেটওয়ার্ক অ্যাক্সেস করতে

# সান জুন 17 14:12:20 2012 এ iptables-save v1.4.10 দ্বারা উত্পাদিত
*ছাঁকনি
: ইনপুট ড্রপ [0: 0]
: পূর্বের স্বীকৃতি [0: 0]
: আউটপুট ড্রপ [0: 0]
-এ ইনপুট-এস 123.244.255.254/32 -ডি 192.168.0.14/32 -j এসিসিপিটি 
-এ ইনপুট -s 192.168.0.0/24 -d 192.168.0.14/32 -j এসিসিপিটি # স্থানীয়ভাবে
-এ ইনপুট -i টিউন-জে এসিসিপিটি 
-এ ইনপুট -i lo0 -j এসিসিপিটি 
-এ ইনপুট -জে ড্রপ 
-A OUTPUT -s 192.168.0.14/32 -d 123.244.255.254/32 -j এসিসিপিটি 
-A OUTPUT -s 192.168.0.14/32 -d 192.168.0.0/24 -j ACCEPT # লোকাল আউট
-এ আউটপুট-টুন0 -জে এসিসিপিটি 
-A আউটপুট -o lo0 -j এসিসিপিটি 
-এ আউটপুট-জে ড্রপ 
সমর্পণ করা
— তারের বাদ্যযন্ত্রবিশেষ
সূত্র
2
এটি ভুল, এটি কেবল আপনার রুট যুক্ত করা সহজ নয় .. আমি চেষ্টা করেছি এবং এটি কার্যকর হয়নি ... ভিপিএন ক্লায়েন্ট কার্নেল রাউটিং টেবিলটিকে নিয়ন্ত্রণ করছে যা আপনাকে সংশোধন করতে দিচ্ছে না
— সতীশ
3

এটাতে কোনো বার্তা আছে কি?

সিসকো ভিপিএন ক্লায়েন্ট ড্রাইভার কোন স্তরে নেটওয়ার্কিং স্ট্যাকের মধ্যে এমনটি করছে যা তাদের মেশিন পরিচালনার জন্য স্থানীয় প্রশাসকের ক্ষমতা ওভাররাইড করে?

আমি পুরোপুরি একমত এবং একই জিনিস সম্পর্কে ভাবছিলাম।

যাইহোক, এটি এমন একটি অ্যাপ্লিকেশন যা ইনস্টল করার জন্য প্রশাসকের অধিকার প্রয়োজন এবং এটি চালিত হওয়ার সময় আপনি যা করেন তা খুব ভাল ফিল্টার করতে পারে ...

উইন্ডোজে আমার প্রচেষ্টাও ব্যর্থ:

route change 0.0.0.0 mask 0.0.0.0 192.168.1.1 metric 1
 OK!

IPv4 Route Table
===========================================================================
Active Routes:
Network Destination        Netmask          Gateway       Interface  Metric
          0.0.0.0          0.0.0.0      192.168.1.1    192.168.1.230     21 <-- LAN
          0.0.0.0          0.0.0.0    192.168.120.1    192.168.120.3      2 <-- VPN

হা হা। এখানে 20 বছরের কম কোনও মেট্রিক নেই বলে মনে হচ্ছে।

— Marki
সূত্র
যতক্ষণ লিনাক্স সম্পর্কিত, এটি ( পেটফ্রেইট্যাগ.com / item / 753.cfm ) ফায়ারওয়ালও জড়িত তা বোঝায়।
— মার্কি
2
আমি শ্র্রুসফ্ট ভিপিএন পেয়েছি। এটি একটি সিসকো আইপিসেক ভিপিএন সার্ভারের সাথে সংযুক্ত হতে পারে এবং এটি ভিপিএন সার্ভার প্রশাসকের এই দাবিটিকে উপেক্ষা করে যে আমাকে আমার নিজের নেটওয়ার্ক থেকে সংযোগ বিচ্ছিন্ন করা উচিত। ( বিস্তারিত নির্দেশাবলীর জন্য superuser.com / জিজ্ঞাসা / ৩১২৯4747/২ দেখুন ) যদিও এটি এই প্রশ্নের উত্তর দেয় না, এটি একটি কার্যকর কাজ নয়। দ্রষ্টব্য : শ্রুউসফট ভিপিএন কেবল আইপিসেকের জন্য কাজ করে; এটি এসএসএল ভিপিএন (যেমন নতুন সিসকো অ্যানি কানেক্ট কানেক্ট ভিপিএন ক্লায়েন্ট) এর সাথে কাজ করে না
— ইয়ান বয়ড
3

আমি এটি সঠিকভাবে বুঝতে পেরেছি কিনা জানি না তবে আমি প্রথমে আমার বোঝার বিষয়টি স্পষ্ট করে বলছি:

আপনার একটি স্থানীয় ল্যান রয়েছে (উদাহরণস্বরূপ, 10.0.0.0/16 বলুন, এবং একটি রিমোট সিসকো ভিপিএন সার্ভার (উদাহরণস্বরূপ, 64.0.0.0/16) আপনি সিসকো ভিপিএন ক্লায়েন্টের মাধ্যমে ভিপিএন সার্ভারের সাথে সংযোগ স্থাপন করতে চান এবং এখনও আপনার প্রয়োজন ল্যান অ্যাক্সেস পেতে this এক্ষেত্রে আপনি সম্পূর্ণ 10.0.xx / 16 কে ভিপিএন সংযোগ থেকে আলাদা করতে চান)। নিম্নলিখিত রুটটি অবশ্যই ম্যাক ক্লায়েন্টে যুক্ত করা উচিত:

/sbin/route add -net 10.0 -interface en1

যেখানে এন 1 হ'ল এমন ইন্টারফেস যা আপনি আপনার ল্যানের সাথে সংযুক্ত আছেন। আমি জানি আপনি উইন্ডোজ এবং লিনাক্সেও একই জিনিস যুক্ত করতে পারেন।

— ইয়াসের সোভদেল
সূত্র
3
ম্যাক ক্লায়েন্টের জন্য +1; যা আমার জন্য প্রযোজ্য নয়। এবং এই কমান্ডটি কার্যকর হতে পারে, সিসকো ক্লায়েন্টটি তৈরি হওয়ার সাথে সাথেই এটি মুছতে পারে (সিসকো ক্লায়েন্টটি কাউকে রুট পরিবর্তন করা থেকে বিরত বলে মনে হচ্ছে)
— ইয়ান বয়ড
2

যেহেতু আমি মন্তব্য যুক্ত করতে পারি না, তাই আমি এখানে পোস্ট করব। আমি উইন্ডোজ চলমান।

ভার্চুয়াল মেশিন ব্যবহার করে সমাধান এবং ভিএম এর অভ্যন্তরে যেকোন সংযোগ চালান এবং তারপরে আপনার কর্মপরিবেশ এবং কোম্পানির নেটওয়ার্কের মধ্যে মধ্যস্থতা হিসাবে ভিএম ব্যবহার করুন যদি আপনার "প্রিয়" আইটি বিভাগ ভিপিএন এর মাধ্যমে ০.০.০.০ পথ চালায় না এভাবে আপনার স্থানীয় নেটওয়ার্ক (এটি সহ) আপনার স্থানীয় পিসি এবং ভিএম এর মধ্যে ভিপিএন (sic!) মাধ্যমে রাউন্ড করা হয়।

আমি @ সাশা পাচেভ পোস্ট করা সমাধানটি প্রয়োগ করার চেষ্টা করেছি তবে শেষ পর্যন্ত আমি .dll প্যাচিং শেষ করেছি যাতে ফাংশনের শুরুতে এটি 0 ফিরে আসে। অবশেষে গতিশীল লাইব্রেরির সাথে কিছু লড়াইয়ের পরে, আমি আমার প্রয়োজন অনুসারে রাউটিং টেবিলগুলি সংশোধন করতে সক্ষম হয়েছি তবে দৃশ্যত এটি যথেষ্ট নয়!

যদিও বিধি বিভক্ত টানেলিং অর্জনের জন্য আমার বিধিগুলি সঠিক বলে মনে হচ্ছে, তবুও আমি সাধারণ ব্যর্থতা পেয়েছি। আপনি কি একই সমস্যাটি সমাধান করতে সক্ষম হলেন?

  • ইন্টারনেটে আমার প্রবেশপথটি 192.168.163.2
  • কম্পানির নেটওয়ার্ক আমার গেটওয়ে 10.64.202.1 (সুতরাং পুরো 10. হয় । সাবনেট আমি হিসাবে "comapny এর" আচরণ। *)

আমার রাউটিং টেবিলটি এখন দেখতে কেমন লাগে (ভিপিএন চালু থাকাকালীন ম্যানুয়াল পরিবর্তনের পরে)

এখানে চিত্র বর্ণনা লিখুন

তবুও পিংয়ের ফলাফল অনুসরণ করা হচ্ছে

C:\Users\Mike>ping -n 1 10.64.10.11
Reply from 10.64.10.11: bytes=32 time=162ms TTL=127

C:\Users\Mike>ping -n 1 8.8.8.8
PING: transmit failed. General failure.

C:\Users\Mike>ping -n 1 192.168.163.2
General failure.

কেবলমাত্র রেফারেন্সের জন্য, নীচে ভিপিএন সংযোগ বিচ্ছিন্ন হওয়ার পরে রুট টেবিলটি কেমন দেখাচ্ছে (আনলটার্টড)

এখানে চিত্র বর্ণনা লিখুন

এবং যখন ভিপিএন সংযুক্ত থাকে তখন টেবিলটি দেখতে কেমন লাগে (আনলটার্ডড) যখন আমি পিং করার চেষ্টা করছি তখন 8.8.8.8আমি কেবল টাইমআউট পাই (যেহেতু সংস্থার ফায়ারওয়াল ট্র্যাফিককে ইন্ট্রানেটের বাইরে যেতে দেয় না)

এখানে চিত্র বর্ণনা লিখুন

— মাইক
সূত্র
আমার ডিএলএল প্যাচিংয়ে অসুবিধা হচ্ছে, কেউ কি তাদের একটি অনুলিপি সরবরাহ করতে পারে বা কোন অফসেটটি পরিবর্তন করতে হবে তার আরও কিছু বিশদরেখার রূপরেখা তৈরি করতে পারে?
— শান সি
1

সিসকো অ্যানি কানেক্ট সংযুক্ত এসএসএল ভিপিএন ব্যবহার করার সময় যারা তাদের রাউটিং টেবিলের নিয়ন্ত্রণ বজায় রাখতে খুঁজছেন তাদের জন্য ওপেনকনেক্টটি দেখুন । এটি উভয়ই সিসকো অ্যানি সংযোগ এসএসএল ভিপিএন সমর্থন করে এবং রাউটিং টেবিল এন্ট্রিগুলিকে ব্যাহত বা 'সুরক্ষিত' করার চেষ্টা করে না। @ ভাদজিম উপরের মন্তব্যে এটির প্রতি ইঙ্গিত করে ।

যেকোন সংযোগ সুরক্ষিত গতিশীলতা ক্লায়েন্টকে প্যাচ করার পরে সবকিছু চেষ্টা করার পরে, আমি উইন্ডোজটিতে ওপেন সংযোগ জিইউআই সহ সফলভাবে এটি প্রতিস্থাপন করতে সক্ষম হয়েছি । এটি আমাকে স্থানীয় সংস্থাগুলিতে সংযোগ বজায় রাখতে সক্ষম করেছে (এবং রাউটিং টেবিলটি আপডেট করে)।

আমি উইন্ডোজে ওপেনকনেক্ট ব্যবহার করি তবে এটি প্রকল্প পৃষ্ঠা অনুযায়ী লিনাক্স, বিএসডি এবং ম্যাকোস (অন্যান্য প্ল্যাটফর্মগুলির মধ্যে) সমর্থন করে ।

— রবার্ট মুনি
সূত্র
1
এটি আমার পক্ষে কাজ করেছে। তবে আমার সংস্থা একটি টোকেন ব্যবহার করে, তাই পাসওয়ার্ডটি প্রতিবারই আলাদা। সুতরাং আমাকে "ব্যাচ মোড" চালু করতে হয়েছিল - অন্যথায় এটি প্রথম পাসওয়ার্ডটি সংরক্ষণ করবে এবং এটি পুনরায় ব্যবহার করবে।
— গ্যাব্রিয়েল লুসি
0

গেটওয়ে দিয়ে প্রবেশকারীদের এন্ট্রিগুলি সরাতে চেষ্টা করুন 10.64.202.13দেখুন পিং 8.8.8.8কাজ করে কিনা তা পরে একে একে একে যুক্ত করুন এবং কোনটি সমস্যার কারণ হয়ে উঠছে তা চিহ্নিত করুন।

আপনি কীভাবে ডিএলএল প্যাচ করলেন? আমি রাউটিং টেবিলটি এমনকি সংশোধন করতে পারি না কারণ এটি 0.0.0.0ভিপিএন গেটওয়ে দিয়ে ফিরে যোগ করে চলেছে ।

— টনি
সূত্র
1
আপনার যদি কোনও প্রশ্নের স্পষ্টতা বা অতিরিক্ত তথ্যের প্রয়োজন হয় তবে দয়া করে আপনার উত্তরটিতে অন্তর্ভুক্ত না করে একটি মন্তব্য পোস্ট করুন। ধন্যবাদ।
— ম্যাথু উইলিয়ামস
আমাকে বিদ্যমান প্রশ্নগুলিতে মন্তব্য যুক্ত করতে দিচ্ছিল না।
— টনি
আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.