Форум русскоязычного сообщества Ubuntu


Хотите сделать посильный вклад в развитие Ubuntu и русскоязычного сообщества?
Помогите нам с документацией!

Автор Тема: Iptables не пускает на VPN (PPTP) [РЕШЕНО]  (Прочитано 13568 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн Kowalski86

  • Автор темы
  • Участник
  • *
  • Сообщений: 147
  • Pilot Tux
    • Просмотр профиля
Iptables не пускает на VPN (PPTP) [РЕШЕНО]
« : 05 Ноябрь 2012, 15:54:45 »
Доброго времени суток ув. форумчане! Не могу понять почему Iptables не пускает меня на VPN (PPTP) :-\
Из правил вобщем-то все по стандарту:

-t filter -A OUTPUT -j ACCEPT
-t nat -A POSTROUTING -o eth1 -j MASQUERADE


Инет работает без проблем, но вот при попытке подключения к ВПН выдает ошибку 721, дело явно не в пароле или логине, 100% все ок ибо у других с этим проблем нет.
Почитал про TCPMSS, но я так понимаю его нужно прописавать себе, если подкучаются ко мне! Значит проблема не в этом? Вобщем стоит ли рыть в этом направлении?

Некоторые предлагают прописать подобное:
-I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu, но только на POSTROUTING...
Стоит ли это делать, ничего не ляжет? Эксперементировать не могу ибо рабочий сервер!
Короче говоря I need help please! :)
« Последнее редактирование: 17 Ноябрь 2012, 14:26:46 от Kowalski86 »
Ubuntu 12.04 LTS (KDE) Desktop
Oracle Linux Server 6.3

Оффлайн fisher74

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 13753
    • Просмотр профиля
Re: Iptables не пускает на VPN (PPTP)
« Ответ #1 : 05 Ноябрь 2012, 16:48:40 »
Из правил вобщем-то все по стандарту:

-t filter -A OUTPUT -j ACCEPT
-t nat -A POSTROUTING -o eth1 -j MASQUERADE

По стандарту показывают все правила (iptables-save), а не выжимки. Тем более Вы в своих знаниях не уверены.

не выпускает меня на VPN (PPTP) :-\
Вы праильно написали "не ВЫпускает"?
Принимаю благодарности в WMR и WMZ на кошельки:
R158160676909 и Z313280060764

Оффлайн Kowalski86

  • Автор темы
  • Участник
  • *
  • Сообщений: 147
  • Pilot Tux
    • Просмотр профиля
Re: Iptables не пускает на VPN (PPTP)
« Ответ #2 : 06 Ноябрь 2012, 03:12:16 »
Из правил вобщем-то все по стандарту:

-t filter -A OUTPUT -j ACCEPT
-t nat -A POSTROUTING -o eth1 -j MASQUERADE

По стандарту показывают все правила (iptables-save), а не выжимки. Тем более Вы в своих знаниях не уверены.

не выпускает меня на VPN (PPTP) :-\
Вы праильно написали "не ВЫпускает"?


Согласен ошибочка вышла, "не пускает!" видимо... Правило на работе, выложу чуть позже.
Ну хоть какие-нибудь догадки имеются?
Ubuntu 12.04 LTS (KDE) Desktop
Oracle Linux Server 6.3

Оффлайн fisher74

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 13753
    • Просмотр профиля
Re: Iptables не пускает на VPN (PPTP)
« Ответ #3 : 06 Ноябрь 2012, 09:06:53 »
В качестве догадки, что не проброшен протокол gre, как и порт 1723 (или какой там). Ведь в "стандартные" правила эти не входят.
Второй вариант - на границе с провайдером используется аппаратный homo-роутер, который не поддерживает проброс gre со стороны wan.
Принимаю благодарности в WMR и WMZ на кошельки:
R158160676909 и Z313280060764

Оффлайн Kowalski86

  • Автор темы
  • Участник
  • *
  • Сообщений: 147
  • Pilot Tux
    • Просмотр профиля
Re: Iptables не пускает на VPN (PPTP)
« Ответ #4 : 13 Ноябрь 2012, 12:35:06 »
Вобщем обнаружилась еще одна странная вещь, при попытке указать другой пароль или логин на ВПН, выдает ту же ошибку 721... У меня такое подозрение, что до аутентификации не доходит вообще  :-\

Имеются следующие правила:
*filter
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -m limit --limit 10/sec --limit-burst 20 - j ACCEPT
-A INPUT -m tcp -p tcp --dport 1723 -j ACCEPT
-A INPUT -p gre -j ACCEPT
-A INPUT -j DROP
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -p gre -j ACCEPT
-A FORWARD -o eth1 -s 10.0.0.231 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -j DROP
-A OUTPUT -j ACCEPT

*nat
-A POSTROUTING -o eth1 -j MASQUERADE
« Последнее редактирование: 14 Ноябрь 2012, 15:57:06 от Kowalski86 »
Ubuntu 12.04 LTS (KDE) Desktop
Oracle Linux Server 6.3

Оффлайн censor

  • Старожил
  • *
  • Сообщений: 1128
    • Просмотр профиля
Re: Iptables не пускает на VPN (PPTP)
« Ответ #5 : 13 Ноябрь 2012, 21:20:26 »
https://forum.ubuntu.ru/index.php?topic=192140.0
может чем поможет...

Оффлайн Kowalski86

  • Автор темы
  • Участник
  • *
  • Сообщений: 147
  • Pilot Tux
    • Просмотр профиля
Re: Iptables не пускает на VPN (PPTP)
« Ответ #6 : 14 Ноябрь 2012, 15:34:37 »
https://forum.ubuntu.ru/index.php?topic=192140.0
может чем поможет...

Проблема не совсем та, но я думаю стоит глянуть вот эти модули:
nf_nat_proto_gre
nf_conntrack_pptp
nf_conntrack_proto_gre


В любом случае спасибо за ответ! Хоть что-то лучше чем ничего... ;)
« Последнее редактирование: 14 Ноябрь 2012, 15:40:57 от Kowalski86 »
Ubuntu 12.04 LTS (KDE) Desktop
Oracle Linux Server 6.3

Оффлайн Kowalski86

  • Автор темы
  • Участник
  • *
  • Сообщений: 147
  • Pilot Tux
    • Просмотр профиля
Re: Iptables не пускает на VPN (PPTP)
« Ответ #7 : 17 Ноябрь 2012, 14:25:29 »
Спасибо censor, проблема таки решилась! :D
Пошел немного иным путем. Сначала iptables был выключен, затем пытался подключится ибо думал что правила где-то режут трафик, но тоже не получил никакого результата. В итоге подгрузил модуль ip_nat_pptp следующей командой - modprobe ip_nat_pptp. Теперь все ок!
Так что не стоит лопатить iptables если не работает ВПН, сначала проверяйте наличие нужных модулей!

Проблема с ВПН состоит в том, что трасировщик (он же conntrack) не может корректно работать с GRE трафиком без необходимых модулей, несмотря на то что открыты порты и все такое. Вот как-то так...
« Последнее редактирование: 17 Ноябрь 2012, 14:30:38 от Kowalski86 »
Ubuntu 12.04 LTS (KDE) Desktop
Oracle Linux Server 6.3

Оффлайн censor

  • Старожил
  • *
  • Сообщений: 1128
    • Просмотр профиля
Re: Iptables не пускает на VPN (PPTP) [РЕШЕНО]
« Ответ #8 : 17 Ноябрь 2012, 15:12:12 »
В итоге подгрузил модуль ip_nat_pptp следующей командой - modprobe ip_nat_pptp. Теперь все ок!
так я как бы писал об этом.

 

Страница сгенерирована за 0.056 секунд. Запросов: 24.