удаленное подключение к сети по VPN [РЕШЕНО]

[v_i_c]

Здравия всем!

Подскажите в какую сторону смотреть?

Хочу развернуть VPN сервер, на  база ubuntu server 10.10

цель подключаться к удаленной сети и становиться ее полноценным участником.

Сначала развернул pptp сервер, оттестил его внутри локалки  все работало на ура, но подключение через инет сразу же дисконнектилось, происходило подключение и через пол минуты сразу шел разрыв связи, пчитав интернет пришел к выводу что мой оператор не позволяет пользоваться GRE протокол.

Что использовать в качестве альтернативы? Есть необходимость подключаться к сети с виндовых клиентов так что думаю может l2tp заработает?

[Гарри Кашпировский]

Код: [Выделить]

через пол минуты сразу шел разрыв связиК слову, если бы провайдер действительно блокировал GRE, то даже инициализации подключения не происходило бы.

[v_i_c]

тогда почему же внутри локалки все бегает на ура а через интернет неработает а сразу идет обрыв?

к тому же читал на просторах сети что некоторые операторы блокируют

у меня оператор на стороне сервера beeline

[Гарри Кашпировский]

Полагаю, что к этому причастен Maximum Transmission Unit.
Впрочем без какой-либо информации это предположение предположением останется.

[fisher74]

Соглашусь с предыдущим оратором: без озвучивания настроек системы - гадание на кофейной гуще.
Раз уж конфиг PPTP оттестирован, может проблема в файрволле?

Код: [Выделить]

sudo iptables-save
P.S. И желательно осветить какой интерфейс сморит в интернет, ну и заодно метод соединения с ним (интернетом)

[v_i_c]

подключение к оператору идет через D-link DIR-100 по l2tp  дальше все приходит в eth0 а локалка в eth1. на железке MTU 1400
сервер настраивал по статье ylsoftware.com/news/407

[fisher74]

Мы не сомневались в Ваших литературных способностях, но правила iptables всё же Вы не описали.
Но мы будем очень признательны, если Вы покажете их листингом, а не в виде продукта творческого подъёма.
Да и это в Ваших интересах, потому как телепаты не скоро из отпуска вернутся - лето только начинается...

[v_i_c]

fisher74
ценю ваш тонкий сарказм, и с пониманием отношусь к нему
повторно сделаю все настройки и отпишусь, только вот проверить пока не смогу т.к. Нет доступа к железке для проброса порта

[fisher74]

цель подключаться к удаленной сети и становиться ее полноценным участником.
...
Что использовать в качестве альтернативы? Есть необходимость подключаться к сети с виндовых клиентов ...

Мой выбор в своё время пал на OpenVPN.
Из плюсов: гибкость в настройках; можно использовать любой порт - хоть udp, хоть tcp, причём последний можно прогнать через прокси со стороны клиента; использование шифрование; возможна авторизация по ключам; клиент под любую ОС...
А вот то, что клиент не входит в коробку в "оконных" дистрах - это минус. Но в их коробку многое чего хорошего не входит, например, тот же Putty

[v_i_c]

ваш намек понятен.

если этот вариант не заведется то придется перейти на openVPN

и все же вот вывод

~$ sudo iptables-save
# Generated by iptables-save v1.4.4 on Sat May  7 23:40:05 2011
*filter
:INPUT ACCEPT [87:7157]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [11:1206]
-A INPUT -p gre -j ACCEPT
-A INPUT -p tcp -m tcp --dport 1723 -j ACCEPT
COMMIT
# Completed on Sat May  7 23:40:05 2011

Пользователь решил продолжить мысль 08 Мая 2011, 23:23:22:собственно все сделал, соединение получил, и вроде без обрывов, локалку всю могу пинговать но как только пытаюсь обратится к вебморде принт-сервера или открыть сетевую шару самбы, разу же происходит дисконнект
вот скрипты которые у меня работают касаемо правил

/root/scripts/firewall.sh

(Нажмите, чтобы показать/скрыть)

#!/bin/sh
IF_EXT="eth0"
# Внутренний интерфейс
IF_INT="eth1"
# Локальная сеть
NET_INT="192.168.100.0/255.255.255.0"

iptables -F
iptables -F -t nat
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -i ${IF_INT} -s ${NET_INT} -j ACCEPT

iptables -A INPUT -m tcp -p tcp --dport 1723 -j ACCEPT
iptables -A INPUT -p gre -j ACCEPT

iptables -t nat -A POSTROUTING -s ${NET_INT} -j MASQUERADE -o ${IF_EXT}
iptables -A FORWARD -i ${IF_INT} -o ${IF_EXT} -s ${NET_INT} -j ACCEPT
iptables -A FORWARD -i ${IF_EXT} -o ${IF_INT} -d ${NET_INT} -m state --state RELATED,ESTABLISHED -j ACCEPT

/etc/ppp/ip-up.d/99_pptp_vpn

(Нажмите, чтобы показать/скрыть)

#!/bin/sh

IF_PPTP=${PPP_IFACE}
IP_PPTP=${PPP_REMOTE}

OUT_IFACES="eth0 eth1"

iptables -A INPUT -m udp -p udp --dport 53 -i ${IF_PPTP} -s ${IP_PPTP} -j ACCEPT

for IF_EXT in ${OUT_IFACES}; do
    iptables -A FORWARD -i ${IF_PPTP} -o ${IF_EXT} -s ${IP_PPTP} -j ACCEPT
    iptables -A FORWARD -i ${IF_EXT} -o ${IF_PPTP} -d ${IP_PPTP} -m state --state RELATED,ESTABLISHED -j ACCEPT
done

/etc/ppp/ip-down.d/99_pptp_vpn

(Нажмите, чтобы показать/скрыть)

#!/bin/sh


IF_PPTP=${PPP_IFACE}
IP_PPTP=${PPP_REMOTE}

OUT_IFACES="eth0 eth1"

iptables -D INPUT -m udp -p udp --dport 53 -i ${IF_PPTP} -s ${IP_PPTP} -j ACCEPT

for IF_EXT in ${OUT_IFACES}; do
    iptables -D FORWARD -i ${IF_PPTP} -o ${IF_EXT} -s ${IP_PPTP} -j ACCEPT
    iptables -D FORWARD -i ${IF_EXT} -o ${IF_PPTP} -d ${IP_PPTP} -m state --state RELATED,ESTABLISHED -j ACCEPT
done

[fisher74]

Может всё-таки будет лучше показать не скрипты, а результирующие настройки?

На сервере:

Код: [Выделить]

ifconfig
route -n
sudo iptables-saveНа клиенте

Код: [Выделить]

ifconfig
route -nИ не забудьте огласить IP принтера, и трасерт до него со стороны клиента

Код: [Выделить]

tracepath IP-printer
ЗЫ. Естественно, все данные при подключенном клиенте.

[v_i_c]

СЕРВЕР

:~$ ifconfig

(Нажмите, чтобы показать/скрыть)

(Нажмите, чтобы показать/скрыть)

eth0      Link encap:Ethernet  HWaddr 00:01:29:3f:16:ed 
          inet addr:192.168.0.210  Bcast:192.168.0.255  Mask:255.255.255.0
          inet6 addr: fe80::201:29ff:fe3f:16ed/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:517 errors:0 dropped:0 overruns:0 frame:0
          TX packets:339 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:101756 (101.7 KB)  TX bytes:75762 (75.7 KB)
          Interrupt:19 Base address:0xbc00

eth1      Link encap:Ethernet  HWaddr 00:02:44:92:4a:81 
          inet addr:192.168.100.210  Bcast:192.168.100.255  Mask:255.255.255.0
          inet6 addr: fe80::202:44ff:fe92:4a81/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:33 errors:0 dropped:0 overruns:0 frame:0
          TX packets:80 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:2957 (2.9 KB)  TX bytes:8927 (8.9 KB)
          Interrupt:16 Base address:0xc000

lo        Link encap:Local Loopback 
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:73 errors:0 dropped:0 overruns:0 frame:0
          TX packets:73 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:7381 (7.3 KB)  TX bytes:7381 (7.3 KB)

ppp0      Link encap:Point-to-Point Protocol 
          inet addr:192.168.100.210  P-t-P:192.168.100.50  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1496  Metric:1
          RX packets:9 errors:0 dropped:0 overruns:0 frame:0
          TX packets:9 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:3
          RX bytes:354 (354.0 B)  TX bytes:348 (348.0 B)

~$ route -n

(Нажмите, чтобы показать/скрыть)

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
192.168.100.50  0.0.0.0         255.255.255.255 UH    0      0        0 ppp0
192.168.100.0   0.0.0.0         255.255.255.0   U     0      0        0 eth1
192.168.0.0     0.0.0.0         255.255.255.0   U     0      0        0 eth0
0.0.0.0         192.168.0.180   0.0.0.0         UG    100    0        0 eth0

~$ sudo iptables-save

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.4 on Sat May 14 22:33:44 2011
*nat
:PREROUTING ACCEPT [84:6740]
:OUTPUT ACCEPT [25:3117]
:POSTROUTING ACCEPT [52:5171]
-A POSTROUTING -s 192.168.100.0/24 -o eth0 -j MASQUERADE
COMMIT
# Completed on Sat May 14 22:33:44 2011
# Generated by iptables-save v1.4.4 on Sat May 14 22:33:44 2011
*filter
:INPUT ACCEPT [43:5976]
:FORWARD ACCEPT [292:61687]
:OUTPUT ACCEPT [465:91722]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 192.168.100.0/24 -i eth1 -j ACCEPT
-A INPUT -p gre -j ACCEPT
-A INPUT -p tcp -m tcp --dport 1723 -j ACCEPT
-A FORWARD -s 192.168.100.0/24 -i eth1 -o eth0 -j ACCEPT
-A FORWARD -d 192.168.100.0/24 -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
COMMIT
# Completed on Sat May 14 22:33:44 2011

КЛИЕНТ

 # ifconfig

(Нажмите, чтобы показать/скрыть)

eth0      Link encap:Ethernet  HWaddr 00:1b:fc:35:48:07 
          inet addr:192.168.10.100  Bcast:192.168.10.255  Mask:255.255.255.0
          inet6 addr: fe80::21b:fcff:fe35:4807/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:257553 errors:0 dropped:0 overruns:0 frame:0
          TX packets:265365 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:220024941 (209.8 MiB)  TX bytes:38984738 (37.1 MiB)
          Interrupt:40 Base address:0xe000

lo        Link encap:Local Loopback 
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)

ppp0      Link encap:Point-to-Point Protocol 
          inet addr:192.168.100.50  P-t-P:192.168.100.210  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1400  Metric:1
          RX packets:83 errors:0 dropped:0 overruns:0 frame:0
          TX packets:117 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:3
          RX bytes:9280 (9.0 KiB)  TX bytes:11130 (10.8 KiB)

 # route -n

(Нажмите, чтобы показать/скрыть)

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
2.95.95.169     192.168.10.250  255.255.255.255 UGH   0      0        0 eth0
2.95.95.169     192.168.10.250  255.255.255.255 UGH   0      0        0 eth0
192.168.100.210 0.0.0.0         255.255.255.255 UH    0      0        0 ppp0
192.168.10.0    0.0.0.0         255.255.255.0   U     1      0        0 eth0
127.0.0.0       127.0.0.1       255.0.0.0       UG    0      0        0 lo
0.0.0.0         0.0.0.0         0.0.0.0         U     0      0        0 ppp0

# tracepath 192.168.100.90
 1:  192.168.100.50                                        0.326ms pmtu 1400
 1:  192.168.100.210                                     139.415ms
 1:  192.168.100.210                                     140.404ms
 2:  192.168.100.90                                      140.642ms reached
     Resume: pmtu 1400 hops 2 back 254

[fisher74]

Таки KT315 прав.
Смотрите какой MTU на клиентском ppp0 и какой на серверном.

[v_i_c]

подскажите как посмотреть и изменить

[fisher74]

Посмотреть в Вашем предыдущем сообщении глазками

изменить

Примерно так

Код: [Выделить]

sudo iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu