Iptables не пускает на VPN (PPTP) [РЕШЕНО]

[Kowalski86]

Доброго времени суток ув. форумчане! Не могу понять почему Iptables не пускает меня на VPN (PPTP)
Из правил вобщем-то все по стандарту:

-t filter -A OUTPUT -j ACCEPT
-t nat -A POSTROUTING -o eth1 -j MASQUERADE

Инет работает без проблем, но вот при попытке подключения к ВПН выдает ошибку 721, дело явно не в пароле или логине, 100% все ок ибо у других с этим проблем нет.
Почитал про TCPMSS, но я так понимаю его нужно прописавать себе, если подкучаются ко мне! Значит проблема не в этом? Вобщем стоит ли рыть в этом направлении?

Некоторые предлагают прописать подобное:
-I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu, но только на POSTROUTING...
Стоит ли это делать, ничего не ляжет? Эксперементировать не могу ибо рабочий сервер!
Короче говоря I need help please!

[fisher74]

Из правил вобщем-то все по стандарту:

-t filter -A OUTPUT -j ACCEPT
-t nat -A POSTROUTING -o eth1 -j MASQUERADE

По стандарту показывают все правила (iptables-save), а не выжимки. Тем более Вы в своих знаниях не уверены.

не выпускает меня на VPN (PPTP)

Вы праильно написали "не ВЫпускает"?

[Kowalski86]

Из правил вобщем-то все по стандарту:

-t filter -A OUTPUT -j ACCEPT
-t nat -A POSTROUTING -o eth1 -j MASQUERADE

По стандарту показывают все правила (iptables-save), а не выжимки. Тем более Вы в своих знаниях не уверены.

не выпускает меня на VPN (PPTP)

Вы праильно написали "не ВЫпускает"?

Согласен ошибочка вышла, "не пускает!" видимо... Правило на работе, выложу чуть позже.
Ну хоть какие-нибудь догадки имеются?

[fisher74]

В качестве догадки, что не проброшен протокол gre, как и порт 1723 (или какой там). Ведь в "стандартные" правила эти не входят.
Второй вариант - на границе с провайдером используется аппаратный homo-роутер, который не поддерживает проброс gre со стороны wan.

[Kowalski86]

Вобщем обнаружилась еще одна странная вещь, при попытке указать другой пароль или логин на ВПН, выдает ту же ошибку 721... У меня такое подозрение, что до аутентификации не доходит вообще 

Имеются следующие правила:
*filter
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -m limit --limit 10/sec --limit-burst 20 - j ACCEPT
-A INPUT -m tcp -p tcp --dport 1723 -j ACCEPT
-A INPUT -p gre -j ACCEPT
-A INPUT -j DROP
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -p gre -j ACCEPT
-A FORWARD -o eth1 -s 10.0.0.231 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -j DROP
-A OUTPUT -j ACCEPT

*nat
-A POSTROUTING -o eth1 -j MASQUERADE

[censor]

https://forum.ubuntu.ru/index.php?topic=192140.0
может чем поможет...

[Kowalski86]

https://forum.ubuntu.ru/index.php?topic=192140.0
может чем поможет...

Проблема не совсем та, но я думаю стоит глянуть вот эти модули:
nf_nat_proto_gre
nf_conntrack_pptp
nf_conntrack_proto_gre

В любом случае спасибо за ответ! Хоть что-то лучше чем ничего...

[Kowalski86]

Спасибо censor, проблема таки решилась!
Пошел немного иным путем. Сначала iptables был выключен, затем пытался подключится ибо думал что правила где-то режут трафик, но тоже не получил никакого результата. В итоге подгрузил модуль ip_nat_pptp следующей командой - modprobe ip_nat_pptp. Теперь все ок!
Так что не стоит лопатить iptables если не работает ВПН, сначала проверяйте наличие нужных модулей!

Проблема с ВПН состоит в том, что трасировщик (он же conntrack) не может корректно работать с GRE трафиком без необходимых модулей, несмотря на то что открыты порты и все такое. Вот как-то так...

[censor]

В итоге подгрузил модуль ip_nat_pptp следующей командой - modprobe ip_nat_pptp. Теперь все ок!

так я как бы писал об этом.