natd+mpd

[ASP]

Здравствуйте!
Много интересных и полезных статей на сайте, которые сразу работают. Благодаря им настроил сервер, только осталась одна проблемка.
Есть сервер, с двумя сетевыми картами (одна для интернета, другая для локальной сети).
rl0 - 192.168.10.1/24 (внутрення сеть)
rl1 - 85.x.x.x/26 (провайдерская сеть)

Решил делать авторизацию пользователей через VPN (mpd) - соединение создается, клиент авторизуется и соединяется с сервером. Каждый клиент после соединения с vpn-сервером получает IP-адрес (192.168.100.xxx) и настройки сети (маску подсети и dns). Интернет работает наполовину, а именно - ping идет до любого узла в интернете, работает ftp, но аська не соединяется и не открываются страницы в браузере.
В ipfw всего 2 правила (и еще одно разрешающее все)

00100 divert 8668 ip from 192.168.100.0/24 to any out via rl1
00200 divert 8668 ip from any to 85.x.x.x in via rl1


Но если сделать NAT напрямую из внутрення сети без vpn, то тогда все сразу работает нормально (все сервисы интернета).

В чем может быть проблема?

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[Alex Keda]

странно...
если ftp работает - должно всё работать.
разреши установленные соедиенеия....

[ASP]

00300 3550 612424 allow tcp from any to any established

не помогло

[Alex Keda]

дай ipfw show и ifconfig
P.S. есть такая волшебная кнопочка

Код: Выделить всё

, используй её, для повышения читабельности кода...

[ASP]

Код: Выделить всё

servergate# more /etc/rc.firewall
#!/bin/sh -
ipfw='/sbin/ipfw '
LanOut="rl1"
LanIn="rl0"
IpOut="85.xx.xx.xx"
IpIn="192.168.10.1"
NetMask="24"

NetIn="192.168.10.0"

#vpn-network
NetInVPN="192.168.100.0"
NetMaskVPN="24"


${ipfw} -f flush

${ipfw} add check-state
${ipfw} add allow ip from any to any via lo0

${ipfw} add deny ip from any to 127.0.0.0/8
${ipfw} add deny ip from 127.0.0.0/8 to any


#NAT =========================

${ipfw} add divert natd ip from 192.168.100.0/24 to any out via ${LanOut}
${ipfw} add divert natd ip from 192.168.10.0/24 to any out via ${LanOut}
${ipfw} add divert natd ip from any to ${IpOut}  in via ${LanOut}

${ipfw} add  allow tcp from any to any established

=========================
rl0: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
        options=8<VLAN_MTU>
        inet 192.168.10.1 netmask 0xffffff00 broadcast 192.168.10.255
        ether 00:e0:4c:16:0b:ba
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
rl1: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
        options=8<VLAN_MTU>
        inet 85.xx.xx.xxnetmask 0xffffffc0 broadcast 85.xx.xx.xx
        ether 00:60:76:ba:ed:83
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384
        inet 127.0.0.1 netmask 0xff000000
ng0: flags=8890<POINTOPOINT,NOARP,SIMPLEX,MULTICAST> mtu 1500
ng1: flags=8890<POINTOPOINT,NOARP,SIMPLEX,MULTICAST> mtu 1500
ng2: flags=8890<POINTOPOINT,NOARP,SIMPLEX,MULTICAST> mtu 1500

[Alex Keda]

ipfw show и more /etc/rc.firewall - это несколько разные команды, не находишь? )
=====
и дай ifconfig с подключенным клиентом.

[ASP]

Код: Выделить всё

00100   0     0 check-state
00200 192 11280 allow ip from any to any via lo0
00300   0     0 deny ip from any to 127.0.0.0/8
00400   0     0 deny ip from 127.0.0.0/8 to any
00500   0     0 deny icmp from any to any frag
00600   0     0 divert 8668 ip from 192.168.100.0/24 to any out via rl1
00700   0     0 divert 8668 ip from 192.168.10.0/24 to any out via rl1
00800   0     0 divert 8668 ip from any to 85.115.176.140 in via rl1
00900 614 57304 allow tcp from any to any established
01000  27  2504 allow ip from any to any via rl0
65535  26  2930 allow ip from any to any



rl0: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
        options=8<VLAN_MTU>
        inet 192.168.10.1 netmask 0xffffff00 broadcast 192.168.10.255
        ether 00:e0:4c:16:0b:ba
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
rl1: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
        options=8<VLAN_MTU>
        inet 85.xx.xx.xx netmask 0xffffffc0 broadcast 85.xx.xx.xx
        ether 00:60:76:ba:ed:83
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384
        inet 127.0.0.1 netmask 0xff000000
ng0: flags=8890<POINTOPOINT,NOARP,SIMPLEX,MULTICAST> mtu 1500
ng1: flags=88d1<UP,POINTOPOINT,RUNNING,NOARP,SIMPLEX,MULTICAST> mtu 1396
        inet 192.168.100.1 --> 192.168.100.11 netmask 0xffffffff
ng2: flags=8890<POINTOPOINT,NOARP,SIMPLEX,MULTICAST> mtu 1500

[Alex Keda]

а адрес 192.168.100.1 не должен висеть альясом на одном из интерфейсов?
А то какой-то он вообще напрочь виртуальный получился...

[ASP]

аналогичная ситуация - повесил алиасом на внешний интерфейс, а потом наоборот - ничего не изменилось