Выпускаем клиетов в Интернет c использованием PPTP

[Unreg]

Предположим что  WAN  интерфейс шлюза настроен на статический  IP адрес

Этап 1
Настраиваем сетевые интерфейсы

$ sudo nano /etc/network/interfaces

(Нажмите, чтобы показать/скрыть)

auto lo
iface lo inet loopback
# Wan
auto eth0
iface eth0 inet static
address 192.168.0.205
netmask 255.255.255.0
gateway 192.168.0.1

# Lan
auto eth1
iface eth1 inet static
address 192.168.1.1
netmask 255.255.255.0

$ sudo nano resolv.conf

(Нажмите, чтобы показать/скрыть)

nameserver 192.168.0.1

$ sudo /etc/init.d/networking restart

Этап 2
Установка DNS+DHCP сервера dnsmasq
$ sudo aptitude update
$ sudo aptitude install dnsmasq
$ sudo cp /etc/dnsmasq.conf /etc/dnsmasq.conf.old
$ sudo nano /etc/dnsmasq.conf

(Нажмите, чтобы показать/скрыть)

dhcp-range=192.168.1.2,192.168.1.60,12h
interface=eth1

Этап 3
Установка pptpd

$ sudo apt-get install pptpd
$ sudo cp /etc/pptpd.conf /etc/pptpd.conf.old
$ sudo nano /etc/pptpd.conf

Указываем адрес ppp интерфейса - localip и диапазон адресов выдаваемый при подключение - remoteip

$ sudo cat /etc/pptpd.conf | sed '/ *#/d; /^ *$/d'

(Нажмите, чтобы показать/скрыть)

option /etc/ppp/pptpd-options
logwtmp
localip 192.168.2.1
remoteip 192.168.2.10-70

$ sudo cp /etc/ppp/pptpd-options /etc/ppp/pptpd-options.old
$ sudo nano /etc/ppp/pptpd-options
$ sudo cat /etc/ppp/pptpd-options | sed '/ *#/d; /^ *$/d'

(Нажмите, чтобы показать/скрыть)

name pptpd
chapms-strip-domain
refuse-pap
refuse-chap
refuse-mschap
ms-dns 192.168.2.1
proxyarp
lock
nobsdcomp

$ sudo nano /etc/ppp/chap-secrets
$ sudo cat /etc/ppp/chap-secrets | sed '/ *#/d; /^ *$/d'

(Нажмите, чтобы показать/скрыть)

vpnuser1 pptpd pass1 192.168.2.2
vpnuser2 pptpd pass2 192.168.2.3

$ sudo /etc/init.d/pptpd restart

$ sudo netstat -lpan | grep pptpd
tcp 0 0 0.0.0.0:1723 0.0.0.0:* LISTEN 11111/pptpd

Этап 4A
Настройка netfilter

sudo nano /etc/init.d/iptables

(Нажмите, чтобы показать/скрыть)

#!/bin/bash
#cat /etc/init.d/iptables
IPT="/sbin/iptables"
START="/bin/bash"
PATH="/sbin:/bin:/usr/sbin:/usr/bin"
NAME="$0"
N="/etc/init.d/$NAME"

if [ ! -f /etc/rc.firewall ]; then
echo "/etc/rc.firewall does not exist"
exit 0
fi

case "$1" in
start|restart)
echo -n "Starting up iptables firewall..."
$START /etc/rc.firewall
echo "done."
;;
stop)
$IPT -t filter -F
$IPT -t filter -X
$IPT -t nat -F
$IPT -t nat -X
$IPT -t mangle -F
$IPT -t mangle -X
echo "done."
exit 0;
;;
*)
echo "Usage: $N {start|restart|stop}" >&2
exit 1
;;
esac

exit 0

Делаем исполняемым /etc/init.d/iptables
$ sudo chmod +x /etc/init.d/iptables
добавляем в автозагрузку
$ sudo update-rc.d iptables defaults

Этап 4B
$ sudo nano /etc/rc.firewall

(Нажмите, чтобы показать/скрыть)

#!/bin/bash
#cat /etc/rc.firewall
# Required to enable IPv4 forwarding.
# Redhat users can try setting FORWARD_IPV4 in /etc/sysconfig/network to true
# Alternatively, it can be set in /etc/sysctl.conf
if [ "$SYSCTL" = "" ]
then
echo "1" > /proc/sys/net/ipv4/ip_forward
else
$SYSCTL net.ipv4.ip_forward="1"
fi

# This enables SYN flood protection.
# The SYN cookies activation allows your system to accept an unlimited
# number of TCP connections while still trying to give reasonable
# service during a denial of service attack.
if [ "$SYSCTL" = "" ]
then
echo "1" > /proc/sys/net/ipv4/tcp_syncookies
else
$SYSCTL net.ipv4.tcp_syncookies="1"
fi

iptables -F
iptables -t nat -F

#Установим политики по умолчанию для трафика, не соответствующего ни одному из правил
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

#Сетевые интерфейсы
export WAN=eth0
export LAN=eth1

#Теперь закроем наши сервисы так, чтобы они могли работать только для LAN
iptables -I INPUT 1 -i ${LAN} -j ACCEPT
iptables -I INPUT 1 -i lo -j ACCEPT
iptables -A INPUT -p UDP --dport bootps -i ! ${LAN} -j REJECT
iptables -A INPUT -p UDP --dport domain -i ! ${LAN} -j REJECT

# Disabling SMB connections from eth0
iptables -A INPUT -i eth0 -p tcp --dport microsoft-ds -j DROP
iptables -A INPUT -i eth0 -p udp --dport microsoft-ds -j DROP

#(Необязательно) Разрешаем доступ к нашему ssh-серверу из интернета
#iptables -A INPUT -p TCP --dport ssh -i ${WAN} -j ACCEPT

#Отбросим все TCP/UDP-пакеты, обращающиеся к привилегированным портам
iptables -A INPUT -p TCP -i ! ${LAN} -d 0/0 --dport 0:1023 -j DROP
iptables -A INPUT -p UDP -i ! ${LAN} -d 0/0 --dport 0:1023 -j DROP

iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

#В конце добавляем правила для NAT
#eth1
iptables -I FORWARD -i ${LAN} -d 192.168.1.0/24 -j DROP
iptables -A FORWARD -i ${LAN} -s 192.168.1.0/24 -j ACCEPT
iptables -A FORWARD -i ${WAN} -d 192.168.1.0/24 -j DROP

#eth0
iptables -I FORWARD -i ppp+ -d 192.168.2.0/24 -j DROP
iptables -A FORWARD -i ppp+ -s 192.168.2.0/24 -j ACCEPT
iptables -A FORWARD -i ${WAN} -d 192.168.2.0/24 -j ACCEPT

#SNAT eth0
iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 192.168.0.1

Делаем исполняемым
$ sudo chmod +x /etc/rc.firewall

$ sudo /etc/init.d/iptables restart

DIXI

Предположим что  WAN  интерфейс шлюза настроен как DHCP клиент

Этап 1
Настраиваем сетевые интерфейсы

$ sudo nano /etc/network/interfaces

(Нажмите, чтобы показать/скрыть)

auto lo
iface lo inet loopback
# Wan
auto eth0
iface eth0 inet dhcp
# Lan
auto eth1
iface eth1 inet static
address 192.168.1.1
netmask 255.255.255.0

повторяем шаги с 2 по 4A

Этап 4B
$ sudo nano /etc/rc.firewall

(Нажмите, чтобы показать/скрыть)

#!/bin/bash
#cat /etc/rc.firewall
# Required to enable IPv4 forwarding.
# Redhat users can try setting FORWARD_IPV4 in /etc/sysconfig/network to true
# Alternatively, it can be set in /etc/sysctl.conf
if [ "$SYSCTL" = "" ]
then
echo "1" > /proc/sys/net/ipv4/ip_forward
else
$SYSCTL net.ipv4.ip_forward="1"
fi

# This enables dynamic address hacking.
# This may help if you have a dynamic IP address \(e.g. slip, ppp, dhcp\).
if [ "$SYSCTL" = "" ]
then
 echo "1" > /proc/sys/net/ipv4/ip_dynaddr
else
 $SYSCTL net.ipv4.ip_dynaddr="1"
fi

# This enables SYN flood protection.
# The SYN cookies activation allows your system to accept an unlimited
# number of TCP connections while still trying to give reasonable
# service during a denial of service attack.
if [ "$SYSCTL" = "" ]
then
echo "1" > /proc/sys/net/ipv4/tcp_syncookies
else
$SYSCTL net.ipv4.tcp_syncookies="1"
fi

iptables -F
iptables -t nat -F

#Установим политики по умолчанию для трафика, не соответствующего ни одному из правил
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

#Сетевые интерфейсы
export WAN=eth0
export LAN=eth1

#Теперь закроем наши сервисы так, чтобы они могли работать только для LAN
iptables -I INPUT 1 -i ${LAN} -j ACCEPT
iptables -I INPUT 1 -i lo -j ACCEPT
iptables -A INPUT -p UDP --dport bootps -i ! ${LAN} -j REJECT
iptables -A INPUT -p UDP --dport domain -i ! ${LAN} -j REJECT

# Disabling SMB connections from eth0
iptables -A INPUT -i eth0 -p tcp --dport microsoft-ds -j DROP
iptables -A INPUT -i eth0 -p udp --dport microsoft-ds -j DROP

#(Необязательно) Разрешаем доступ к нашему ssh-серверу из интернета
#iptables -A INPUT -p TCP --dport ssh -i ${WAN} -j ACCEPT

#Отбросим все TCP/UDP-пакеты, обращающиеся к привилегированным портам
iptables -A INPUT -p TCP -i ! ${LAN} -d 0/0 --dport 0:1023 -j DROP
iptables -A INPUT -p UDP -i ! ${LAN} -d 0/0 --dport 0:1023 -j DROP

iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

#В конце добавляем правила для NAT
#eth1
iptables -I FORWARD -i ${LAN} -d 192.168.1.0/24 -j DROP
iptables -A FORWARD -i ${LAN} -s 192.168.1.0/24 -j ACCEPT
iptables -A FORWARD -i ${WAN} -d 192.168.1.0/24 -j DROP

#eth0
iptables -I FORWARD -i ppp+ -d 192.168.2.0/24 -j DROP
iptables -A FORWARD -i ppp+ -s 192.168.2.0/24 -j ACCEPT
iptables -A FORWARD -i ${WAN} -d 192.168.2.0/24 -j ACCEPT

#MASQUERADE eth0
iptables -t nat -A POSTROUTING -o ${WAN} -j MASQUERADE

Делаем исполняемым
$ sudo chmod +x /etc/rc.firewall

=======================================================

Куда интересней когда выход шлюза в интернет осужествляется с использованием VPN (pptp или pppoe)
 /etc/ppp/pptpd-options для pptp и pptpd можно разделить
Но не факт что pptp будет создавать ppp0 интерфейс, а не какой нибудь шустрый клиент

Еще интересней, если придумать второй WAN на шлюзе, подключенный к второму провайдеру, для резервного канала

Мысли есть?

[Nickollla]

как то было необходимо сделать выход в инет для клиентов при этом сервак сам должен был выходить по vpn pptp . конечно до реалезации не дошло так как выход в инет статикой заимел, но набрасал примерно как это будет выглядеть.
и так при поднятии интерфейса ppp запускаются скрипты из папки /etc/ip-up.d  в которые передаются переменные
PPP_IFACE="$1"
PPP_TTY="$2"
PPP_SPEED="$3"
PPP_LOCAL="$4"
PPP_REMOTE="$5"
PPP_IPPARAM="$6"
о них можно прочитать в скрипте /etc/ppp/ip-up
в итоге когда запускается ppp подключение запускается наш скрипт который находится в ip-up.d в наш скрипт передаются переменные $4 и 5$ (ну конечно и другие переменные но нас интересуют они хотя даже одна из них тут по вкусу) в скрипте по case определяем например удаленный ip и если он соответствует ip который со стороны нашего провайдера то запускаются дальше соответствующие правила для iptables на маскарадинг и форвардинг.
если нет то делать что душе вашей угодно. Вот так можно решить проблему с шустрым юзером на ppp0 то бишь не будут наши правила для iptables завязаны на ppp0.
Я так использую сейчас шейпинг по ипам . так как клиентам статикой vpn выдает ip то по этому ипу определяется шейпить или нет и с какой скоростью и на каком именно интерфейсе ppp
Соответственно есть возможность запускать скрипты и по падению интерфейса папка соответственно ip-down.d
Могу выложить скрипт с этим шейпингом впринципе в нем только меняй ипы на свои,правила шейпа стереть и за место их пиши любые правила для  iptables или еще чего

[Unreg]

Скрипты это очень хорошо.
Работоспособность скриптов из (4B) пока проверить негде...

шейпинг, шейпинг, шейпинг... в man pptpd.conf

speed speed
              specifies a speed (in bits per second) to pass to the PPP daemon
              as the interface speed for the tty/pty pair.  This is ignored by
              some  PPP  daemons,  such  as  Linux’s  pppd(.  The default is
              115200 bytes per second, which some implementations interpret as
              meaning  "no  limit".   Equivalent  to  the command line --speed
              option.

speed скорость

Указывает скорость (в битах в секунду) для передачи PPP-демону в качестве скорости интерфейса для пары tty/pty. Она игнорируется некоторыми PPP-демонами, такими как pppd_8 в Linux. По умолчанию это 115200 байт в секунду, некоторые реализации интерпретируют это значение как означающие «без ограничений». Равнозначно опции командной строки --speed./code]

Пользователь решил продолжить мысль 15 Августа 2009, 01:28:12:Самый простой firewall для pptpd

(Нажмите, чтобы показать/скрыть)

#!/bin/bash
#cat /etc/rc.firewall
# Required to enable IPv4 forwarding.
# Redhat users can try setting FORWARD_IPV4 in /etc/sysconfig/network to true
# Alternatively, it can be set in /etc/sysctl.conf
if [ "$SYSCTL" = "" ]
then
echo "1" > /proc/sys/net/ipv4/ip_forward
else
$SYSCTL net.ipv4.ip_forward="1"
fi

# This enables dynamic address hacking.
# This may help if you have a dynamic IP address \(e.g. slip, ppp, dhcp\).
if [ "$SYSCTL" = "" ]
then
 echo "1" > /proc/sys/net/ipv4/ip_dynaddr
else
 $SYSCTL net.ipv4.ip_dynaddr="1"
fi

# This enables SYN flood protection.
# The SYN cookies activation allows your system to accept an unlimited
# number of TCP connections while still trying to give reasonable
# service during a denial of service attack.
if [ "$SYSCTL" = "" ]
then
echo "1" > /proc/sys/net/ipv4/tcp_syncookies
else
$SYSCTL net.ipv4.tcp_syncookies="1"
fi

iptables -F
iptables -t nat -F

#Сетевые интерфейсы
export WAN=eth0

iptables --append INPUT --protocol 47 --jump ACCEPT
iptables --append INPUT --protocol tcp --match tcp --destination-port 1723 --jump ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

[Nickollla]

Скрипты это очень хорошо.
Работоспособность скриптов из (4B) пока проверить негде...

шейпинг, шейпинг, шейпинг... в man pptpd.conf

speed speed
              specifies a speed (in bits per second) to pass to the PPP daemon
              as the interface speed for the tty/pty pair.  This is ignored by
              some  PPP  daemons,  such  as  Linux’s  pppd(.  The default is
              115200 bytes per second, which some implementations interpret as
              meaning  "no  limit".   Equivalent  to  the command line --speed
              option.

speed скорость

Указывает скорость (в битах в секунду) для передачи PPP-демону в качестве скорости интерфейса для пары tty/pty. Она игнорируется некоторыми PPP-демонами, такими как pppd_8 в Linux. По умолчанию это 115200 байт в секунду, некоторые реализации интерпретируют это значение как означающие «без ограничений». Равнозначно опции командной строки --speed./code]

Пользователь решил продолжить мысль 14 Августа 2009, 21:28:12:Самый простой firewall для pptpd

(Нажмите, чтобы показать/скрыть)

#!/bin/bash
#cat /etc/rc.firewall
# Required to enable IPv4 forwarding.
# Redhat users can try setting FORWARD_IPV4 in /etc/sysconfig/network to true
# Alternatively, it can be set in /etc/sysctl.conf
if [ "$SYSCTL" = "" ]
then
echo "1" > /proc/sys/net/ipv4/ip_forward
else
$SYSCTL net.ipv4.ip_forward="1"
fi

# This enables dynamic address hacking.
# This may help if you have a dynamic IP address \(e.g. slip, ppp, dhcp\).
if [ "$SYSCTL" = "" ]
then
 echo "1" > /proc/sys/net/ipv4/ip_dynaddr
else
 $SYSCTL net.ipv4.ip_dynaddr="1"
fi

# This enables SYN flood protection.
# The SYN cookies activation allows your system to accept an unlimited
# number of TCP connections while still trying to give reasonable
# service during a denial of service attack.
if [ "$SYSCTL" = "" ]
then
echo "1" > /proc/sys/net/ipv4/tcp_syncookies
else
$SYSCTL net.ipv4.tcp_syncookies="1"
fi

iptables -F
iptables -t nat -F

#Сетевые интерфейсы
export WAN=eth0

iptables --append INPUT --protocol 47 --jump ACCEPT
iptables --append INPUT --protocol tcp --match tcp --destination-port 1723 --jump ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

если бы шейпинг через сам pptpd.conf был так эффективен никто бы и не юзал cbq. да еще написано шо не пашет она в линукм . так что остается шейп не средствами pptpd   . не пойму для чего ты послал в ман пптпд если средставми пптпд неотшейпить в линукс

[Unreg]

Жалко
Помница впервые о pptp/pppoe сервере впервые задумался в связи с шейпингом

[Nickollla]

файрвол 4B дырявый . По простой причине политика input и forward по умолчанию accept .