VPN: организация и настройка

[Deemchick]

Сообщение от SinClaus

Можно. Сервер VPN и гейт провайдера, через который достигается этот сервер, должны быть доступны через то, через что устанавливается эта VPN (т.е. если VPN устанавливается на eth0, нужно прописать маршруты к этим хостам через неё), всё остальное - через устанавливаемую VPN

А могу ли я сделать это у себя на компе (WinXP SP3)? Или надо ставить пиво провайдеру?

Если могу у себя, то как это сделать? Никогда раньше не прописывал маршруты руками.

[SinClaus]

В винде есть хелп по командам, команда называется route.
У меня винды нет, на работе и дома живу в линуксе.

Помогите решить задачу, С помощю VPN-соединения подключаюсь к удаленной сети,но проблема в том что одновременно может подключитса только один комп,тоисть одновременно два подключения не идут, (пользователей на VPN-сервере /Linux/ прописано около 5). ошибка 619 порт закрит, интернет получаю с помрщю ADSl модема AIRTEIST PT-103.
Функцию VPN pass-t . поддерживает, можно ли его настроить таким образом что-бы одновременно шло 2 и больше VPN-соединения с удаленной сеттю, модем являетса,одновременно,фаерволом и маршрутизатором, работает в режиме router соединение ppoe если можно, то что в модеме нужно , подправит.

[KalaSh]

Исходные данные:
1. ADSL модем Zyxel P660HT2, работает в режиме route. Подключается к провайдеру через PPPoE.
Ему присваивается статический адрес (WAN_modem). Например 89.204.63.63
У него есть локальный адрес (LAN_modem): 10.1.1.1

2. К модему подключен сервер debian, который выполняет функции firewall'a.
У него есть WAN адрес 10.1.1.2
и LAN адрес 192.168.1.1

3. Во внутренней сети есть пользователи и сервера, имеющие адреса 192.168.1.10-192.168.1.254, соответственно шлюзом для них является debian.

Сегодня поднял pppoe-server debian. Подключение из локальной сети прошло успешно, адрес указанный в конфигах 192.168.1.2 был присвоен подключавшемуся. Дальше стало хуже.

Цель всей этой затеи был следующая. Есть филиал с сервером filial, и хочется, чтобы он (filial) при подключении снаружи по pppoe, на адрес 89.204.63.63 получал тот самый адрес 192.168.1.2 и мы видели их сервер, будто он в нашей сети.

Я вижу вариант с переводом модема в режим bridge и правки iptables на debian, быть может есть более простые решения?

[Plague]

филиал на какой адрес подключается? хотя в любом случае, если

Сообщение от KalaSh

Во внутренней сети есть пользователи и сервера, имеющие адреса 192.168.1.10-192.168.1.254, соответственно шлюзом для них является debian

то дебиан должен совершенно спокойно перенаправлять пакеты на ip филиального соединения. или принципиально чтоб он был именно 1.2?
вообще в конфигах диапазон выдаваемых для vpn-соединений ip должен задаваться.

Сообщение от KalaSh

Я вижу вариант с переводом модема в режим bridge и правки iptables на debian

честно говоря не понял что это даст.

[KalaSh]

Сообщение от Plague

филиал на какой адрес подключается? хотя в любом случае, если

На 89.204.63.63 он (филиал) должен подключаться и получать в ответ 192.168.1.2 на поднятом интерфейсе. Я пробую подключаться снаружи на 89.204.63.63, но в ответ получаю "Ошибка 800. Не удалось установить соединение".

Может порт какой нужно пробросить с модема на debian?

[Borland]

KalaSh, достаточно на модеме пробросить соответствующий порт на машину с debian (на 10-й интерфейс), насколь я понимаю... Насчёт адресации - нужно чтобы нигде не было пересечения адресов.
Т.е. если LAN имеет адрес 192.168.1/24, то "на той стороне" (где находится удалённый сервер) должна использоваться другая сеть, например 192.168.0/24, а на VPN - третья, например 172.16.0/24 дабы Debian мог нормально роутить между собой локалки и VPN.
Ну, и "всем заинтересованным лицам" (компам) нужно будет прописАть соответствующие маршруты. Компам в локалке - пофиг, у них и так дебиан стоит шлюзом по умолчанию и они всё равно весь нелокальный траффик отправляют на него. А вот Filial нужно будет объяснить, что весь траффик для 192.168.1/24 нужно направлять на шлюз 172.16.0/24 (в качестве которого используется соответствующий интерфейс Debian). Это можно сделать при выдаче IP-адреса на PPPoE-соединение.

Сообщение от KalaSh

и мы видели их сервер, будто он в нашей сети

В "Сетевом окружении" его увидят только те, кто, как и filial, получил адрес в VPN-сети. Это ограничение обойти нельзя - ибо "Сетевое окружение" реализовано широковещательным (broadcast) траффиком NETBIOS, который не роутится в принципе. Доступ к SMB-шарам/RDP и т.п. - будет. Даже (при соответствующей настройке DNS/WINS) по имени компа.

[Plague]

Сообщение от KalaSh

Может порт какой нужно пробросить с модема на debian?

а то!! и не "какой" а тот, на котором сервис vpn у сервера сидит. а ты думал, что роутер по навеянью Божьему будет знать куда ему внешнее обращение отправлять...?

[Borland]

Судя по http://manuals.kerio.com/wrp/en/148.htm это порт 1723...

[KalaSh]

Так вот понять не могу какой порт пробросить. Так-то у меня с 10-к портов туда проброшены (21, 22, 3389, 4899 и т.д.)

netstat -lpn нужной информации не дал

Нажмите здесь, чтобы увидеть текст полностью

netstat -lpn
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:110 0.0.0.0:* LISTEN 3542/cyrmaster
tcp 0 0 0.0.0.0:143 0.0.0.0:* LISTEN 3542/cyrmaster
tcp 0 0 0.0.0.0:111 0.0.0.0:* LISTEN 3278/portmap
tcp 0 0 127.0.0.1:2000 0.0.0.0:* LISTEN 3542/cyrmaster
tcp 0 0 0.0.0.0:113 0.0.0.0:* LISTEN 3604/inetd
tcp 0 0 127.0.0.1:7634 0.0.0.0:* LISTEN 3588/hddtemp
tcp 0 0 0.0.0.0:21 0.0.0.0:* LISTEN 3604/inetd
tcp 0 0 0.0.0.0:119 0.0.0.0:* LISTEN 3542/cyrmaster
tcp 0 0 0.0.0.0:25 0.0.0.0:* LISTEN 3686/master
tcp 0 0 0.0.0.0:1723 0.0.0.0:* LISTEN 3695/pptpd
tcp6 0 0 :::110 :::* LISTEN 3542/cyrmaster
tcp6 0 0 :::143 :::* LISTEN 3542/cyrmaster
tcp6 0 0 :::22 :::* LISTEN 3709/sshd
tcp6 0 0 :::119 :::* LISTEN 3542/cyrmaster
udp 0 0 0.0.0.0:111 0.0.0.0:* 3278/portmap
Active UNIX domain sockets (only servers)
Proto RefCnt Flags Type State I-Node PID/Program name Path
unix 2 [ ACC ] STREAM LISTENING 10145 3686/master private/tlsmgr
unix 2 [ ACC ] STREAM LISTENING 10149 3686/master private/rewrite
unix 2 [ ACC ] STREAM LISTENING 10153 3686/master private/bounce
unix 2 [ ACC ] STREAM LISTENING 10193 3686/master private/discard
unix 2 [ ACC ] STREAM LISTENING 10157 3686/master private/defer
unix 2 [ ACC ] STREAM LISTENING 10161 3686/master private/trace
unix 2 [ ACC ] STREAM LISTENING 10165 3686/master private/verify
unix 2 [ ACC ] STREAM LISTENING 10169 3686/master public/flush
unix 2 [ ACC ] STREAM LISTENING 10197 3686/master private/local
unix 2 [ ACC ] STREAM LISTENING 10201 3686/master private/virtual
unix 2 [ ACC ] STREAM LISTENING 10205 3686/master private/lmtp
unix 2 [ ACC ] STREAM LISTENING 1558178 23319/lpd /dev/printer
unix 2 [ ACC ] STREAM LISTENING 10209 3686/master private/anvil
unix 2 [ ACC ] STREAM LISTENING 10213 3686/master private/scache
unix 2 [ ACC ] STREAM LISTENING 10217 3686/master private/maildrop
unix 2 [ ACC ] STREAM LISTENING 10221 3686/master private/uucp
unix 2 [ ACC ] STREAM LISTENING 10225 3686/master private/ifmail
unix 2 [ ACC ] STREAM LISTENING 10229 3686/master private/bsmtp
unix 2 [ ACC ] STREAM LISTENING 10233 3686/master private/scalemail-backend
unix 2 [ ACC ] STREAM LISTENING 10173 3686/master private/proxymap
unix 2 [ ACC ] STREAM LISTENING 10177 3686/master private/smtp
unix 2 [ ACC ] STREAM LISTENING 10237 3686/master private/mailman
unix 2 [ ACC ] STREAM LISTENING 10241 3686/master private/retry
unix 2 [ ACC ] STREAM LISTENING 10181 3686/master private/relay
unix 2 [ ACC ] STREAM LISTENING 10185 3686/master public/showq
unix 2 [ ACC ] STREAM LISTENING 10189 3686/master private/error
unix 2 [ ACC ] STREAM LISTENING 10034 3542/cyrmaster /var/run/cyrus/socket/lmtp
unix 2 [ ACC ] STREAM LISTENING 10138 3686/master public/cleanup

[Plague]

Сообщение от KalaSh

понять не могу какой порт пробросить.

либо в конфиге сервиса, либо в мануалах (умолчальный) смотри.

ps. netstat - мутная какая-то команда, я так и не научился ее готовить .
sockstat (в БСД идет в окружении системы, в дебиане ставится дополнительно) имхо удобней...

[KalaSh]

Сообщение от Plague

sockstat

Согласен. Но тут под рукой debian, выбирать не приходится.

На машине стоит pppd для PPPoE. В папке /etc/ppp/ по слову port ничего нашел, но чуть погуглив получил наводку Borland'a. telnet 10.1.1.2 1723 даёт ответ. Буду дальше пробовать.

Изначально не мог понять, что за порт там используется и соответственно не мог понять, что пробрасывать.

Borland, Plague спасибо большое за дискуссию.

[albo]

простите, а причем здесь pppoe?

[Borland]

Сообщение от albo

причем здесь pppoe?

При том, что является частным случаем VPN-соединения. Наряду с L2TP и *VPN.

[KalaSh]

Сообщение от Borland

Ну, и "всем заинтересованным лицам" (компам) нужно будет прописАть соответствующие маршруты. Компам в локалке - пофиг, у них и так дебиан стоит шлюзом по умолчанию и они всё равно весь нелокальный траффик отправляют на него.

Застрял с маршрутами. Поднимаю из дома соединение, получаю на выходе:

c:\>ipconfig
Настройка протокола IP для Windows
Беспроводная сеть - Ethernet адаптер:
        DNS-суффикс этого подключения . . :
        IP-адрес  . . . . . . . . . . . . : 192.168.1.100
        Маска подсети . . . . . . . . . . : 255.255.255.0
        Основной шлюз . . . . . . . . . . : 192.168.1.1
nordland - PPP адаптер:
        DNS-суффикс этого подключения . . :
        IP-адрес  . . . . . . . . . . . . : 172.172.172.100
        Маска подсети . . . . . . . . . . : 255.255.255.255
        Основной шлюз . . . . . . . . . . : 172.172.172.100

c:\>route print
Активные маршруты:
Сетевой адрес           Маска сети      Адрес шлюза       Интерфейс  Метрика
          0.0.0.0          0.0.0.0  172.172.172.100  172.172.172.100      1
          0.0.0.0          0.0.0.0      192.168.1.1   192.168.1.100       26
    89.204.63.131  255.255.255.255      192.168.1.1   192.168.1.100       25
        127.0.0.0        255.0.0.0        127.0.0.1       127.0.0.1       1
      169.254.0.0      255.255.0.0    192.168.1.100   192.168.1.100       20
  172.172.172.100  255.255.255.255        127.0.0.1       127.0.0.1       50
  172.172.255.255  255.255.255.255  172.172.172.100  172.172.172.100      50
      192.168.1.0    255.255.255.0    192.168.1.100   192.168.1.100       25
    192.168.1.100  255.255.255.255        127.0.0.1       127.0.0.1       25
    192.168.1.255  255.255.255.255    192.168.1.100   192.168.1.100       25
        224.0.0.0        240.0.0.0    192.168.1.100   192.168.1.100       25
        224.0.0.0        240.0.0.0  172.172.172.100  172.172.172.100      1
  255.255.255.255  255.255.255.255  172.172.172.100  172.172.172.100      1
  255.255.255.255  255.255.255.255    192.168.1.100   192.168.1.100       1
Основной шлюз:     172.172.172.100
===========================================================================
Постоянные маршруты:
  Отсутствует

Когда отключаюсь от vpn, шлюз 192.168.1.1 (домашний) встаёт на место в маршрутах.

[albo]

Borland
не забывайте, что PPPoE -протокол канального уровня в модели OSI, PPPtP и L2TP по факту сеансовые уровни. PPP фреймы не полезут через роутер...


KalaSh
отключите в свойствах соединения VPN шлюз по умолчанию. либо настраивайте dhcp сервер

[Plague]

Если честно, совершенно ничего не понял из твоего сообщения, - а что собственно нужно, но попробую стелепатировать:
подключаемся через виндовое "Подключение к удаленному рабочему месту через VPN"?
свойства соединения - вкладка сеть - tcp/ip - свойства - дополнительно - галка использовать основной шлюз в удаленной сети.

[Borland]

1)

Сообщение от KalaSh

Застрял с маршрутами.

Сообщение от Borland

нужно чтобы нигде не было пересечения адресов.

У тебя это правило явно нарушено - в домашней сети и в рабочей используется один диапазон адресов (сеть). 192.168.1/24
Ни о каком роутинге в этом случае речь идти в принципе не может... Домашнюю локалку нужно поменять (например на 192.168.0/24).
2) Грубо нарушено ещё одно правило - для VPN выделен недопустимый диапазон адресов. Читать внимательно
3) Не надо использовать PPPoE-шлюз в качестве default gateway (за исключением того случая, если это провайдерский PPPoE, через который обеспечивается доступ в инет). См. параграф "Use the Local Default Gateway" тут: http://www.dd-wrt.com/wiki/index.php/VPN_%28tutorial%29 . Он должен быть только шлюзом для доступа в сеть 192.168.1/24

Сообщение от albo

PPP фреймы не полезут через роутер...

Ещё как полезут... Только не непосредственно через роутер, а по установившемуся PPP-каналу между локальным и удалённым компами. Инкапсуляция это называется.

Сообщение от albo

PPPoE -протокол канального уровня в модели OSI, PPPtP и L2TP по факту сеансовые уровни

Независимо от уровня модели OSI. Virtual Private Network...

[KalaSh]

Сообщение от Borland

недопустимый диапазон адресов

Поправил. Сам оказался невнимательным. Спасибо за напоминание.

Сообщение от albo

/etc/ppptpd.conf покажите

cat /etc/pptpd.conf
option /etc/ppp/pptpd-options
logwtmp
localip 172.20.1.1
remoteip 172.20.1.100-238

[albo]

ну, соственно, сами нашли. осталось только отключить шлюз по умолчанию