VPN по протоколу PPTP на PoPToP проблема

[AlexNSK]

Добрый день! Настраиваю удаленный достпу к серверу (шлюз) по статье VPN по протоколу PPTP на PoPToP.
Конфиг такой, остальные конифги аналогичные в статье. Но в логах выдает следующее...в чем может быть загвоздка?
/etc/ppp/ppp.conf

Код: Выделить всё

pptp:
    set dns 192.168.0.5
    set ifaddr 192.168.0.1
    set timeout 300
    enable MSChapV2
    enable proxy

options.pptpd
proxyarp
+MSChap-V2 mppe-128 mppe-stateless

Лог

Код: Выделить всё

pptpd[10941]: MGR: Launching /usr/local/sbin/pptpctrl to handle client
pptpd[10941]: CTRL: local address = 192.168.0.1
pptpd[10941]: CTRL: remote address = 192.168.1.1
pptpd[10941]: CTRL: BSD userland ppp system label = /etc/ppp/options.pptpd
pptpd[10941]: CTRL: Client 192.168.0.3 control connection started
pptpd[10941]: CTRL: Received PPTP Control Message (type: 1)
pptpd[10941]: CTRL: Made a START CTRL CONN RPLY packet
pptpd[10941]: CTRL: I wrote 156 bytes to the client.
pptpd[10941]: CTRL: Sent packet to client
pptpd[10941]: CTRL: Received PPTP Control Message (type: 7)
pptpd[10941]: CTRL: Set parameters to 100000000 maxbps, 64 window size
pptpd[10941]: CTRL: Made a OUT CALL RPLY packet
pptpd[10941]: CTRL: Starting call (launching pppd, opening GRE)
pptpd[10941]: CTRL: pty_fd = 7
pptpd[10941]: CTRL: tty_fd = 6
pptpd[10942]: CTRL (PPPD Launcher): program binary = /usr/sbin/ppp
pptpd[10941]: CTRL: I wrote 32 bytes to the client.
pptpd[10941]: CTRL: Sent packet to client
pptpd[10941]: CTRL: Received PPTP Control Message (type: 15)
pptpd[10941]: CTRL: Got a SET LINK INFO packet with standard ACCMs
pptpd[10941]: GRE: accepting packet #0
ppp[10942]: Warning: Label /etc/ppp/options.pptpd rejected -direct connection: Configuration label not found
pptpd[10941]: GRE: read(fd=7,buffer=804d560,len=8196) from PTY failed: status = 0 error = No error
kernel: 
pptpd[10941]: GRE: read(fd=7,buffer=804d560,len=8196) from PTY failed: status = 0 error = No error
pptpd[10941]: CTRL: PTY read or GRE write failed (pty,gre)=(7,6)
kernel: 
pptpd[10941]: CTRL: PTY read or GRE write failed (pty,gre)=(7,6)
 pptpd[10941]: CTRL: Reaping child PPP[10942]
pptpd[10941]: CTRL: Client 192.168.0.3 control connection finished
pptpd[10941]: CTRL: Exiting now
pptpd[10044]: MGR: Reaped child 10941

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[schizoid]

а /usr/local/etc/pptpd.conf настроил?

[AlexNSK]

Остальное все настроено по статье!

[schizoid]

ppp[10942]: Warning: Label /etc/ppp/options.pptpd rejected -direct connection: Configuration label not found

проверь
и еще псевдодевайс в ядре скомпилен?

[Alex Keda]

ppp[10942]: Warning: Label /etc/ppp/options.pptpd rejected -direct connection: Configuration label not found

проверь
и еще псевдодевайс в ядре скомпилен?

ребята, поиск по этой ошибке, приводит на эту же статью, и ещё пару мест, котоыре на неё же ссылаются.
садитесь и перечитываете ещё раз. там описана такая ошибка и что делать.

[schizoid]

действительно, перечитал статью и нашел причину.
сам настраивал давно, но вроде не наступал на эти грабли или внимательно статью прочел

[klimov]

Добрый всем день. Возникла проблема по настройке доступа в корпоративную сеть через vpn. Все настроено как в статье у лисяры и работает нормально, но есть одно но. В локальной сети маска 255.255.255.0, а vpn выдает при подключении к серверу 255.255.255.255. Если кто то знает как побороть эти грабли напишите плиз. В файле /etc/ppp/ppp.conf

Код: Выделить всё

pptp:
 enable proxy                  
 set dns 192.168.0.208        
 set ifaddr 192.168.0.225 192.168.0.225 255.255.255.0     
 set timeout 300               
 enable MSChapV2

[Darklelik]

В локальной сети маска 255.255.255.0, а vpn выдает при подключении к серверу 255.255.255.255. Если кто то знает как побороть эти грабли напишите плиз. В файле /etc/ppp/ppp.conf

Делал тоже по статье и была та же проблема разрулил при помощи маршрутизации пакетов на сервере ... так что у клиентов маска 255.255.255.255 правда не знаю насколько это правильно.

[RapteR]

Кто ни будь победил: "CTRL Ignored a SET INFO packet with real ACCMs!" ?
Я так понимаю по этой причине и не настраивается ДНС, ВИНС etc.

[paradox]

настраивая такие связки
как
ppp+pptpclient
или
ppp+poptop

нужно влючать и лог самого ppp
а то по логу самого pptp протокола понять что либо невозможно

вот почему я люблю mpd
все в одном логе

[hroft]

Доброго времени суток!
Прошу помощи!
Настраивал как в статье http://www.lissyara.su/?id=1073
присоединяется к VPN серверу с удаленной машины на ура.
Сам сервер пингуется, но сети за ним невидно ( ни пингов к другим машинам, ни по rdp на win серверы не заходит). Так же на удаленной машине пропадает доступ к интернет( соединение есть, но все пакеты идут через VPN). Подскажите в какую сторону копать... что смотреть... Заранее благодарен!
привожу конфиги:

Код: Выделить всё

######################
/usr/local/etc/pptpd.conf
######################
options /etc/ppp/options.pptpd
debug
noipparam
############

########################
/etc/ppp/ppp.conf
######################
pptp:
 enable proxy                   # для работы внутри локальной сети
                                # (позволяет делать запрося ARP, но только
                                # в случае, если выдаваемый клиенту адрес
                                # принадлежит этой сети)
 set dns 213.85.##.###            # адрес DNS
 set ifaddr 10.4.1.1 10.4.1.240        # внутренний адрес
 set timeout 300                # таймаут простоя до разрыва соединения
                                # если 0 - то не рвётся вообще
 enable MSChapV2                # протокол по которому шифруемся
 set nbns 10.4.1.2         # WINS контролер домена  

##################################

###########################
/etc/ppp/options.pptpd
#####################
proxyarp
+MSChap-V2 mppe-128 mppe-stateless
################################

#############################
/etc/ppp/ppp.secret
####################
hroft    10.4.1.240
#####################

IPFW
~~~~~~~~~~~~~
# Отправляем всех на squid
${FwCMD} add fwd 127.0.0.1,3128 tcp from ${NetIn} to any 80 via ${LanOut}

# Делаем NAT (трансляцию сетевых адресов) всему, что не ушло на squid
${FwCMD} add divert natd ip from ${NetIn} to any out via ${LanOut}
${FwCMD} add divert natd ip from any to ${IpOut} in via ${LanOut}
#${FwCMD} add allow ip from any to any
${FwCMD} add allow tcp from any to me 1723
${FwCMD} add allow gre from any to any
${FwCMD} add allow ip from any to any via tun0


~~~~~~~~~~~

[paradox]

gateway_enable="YES"
поставь в rc.conf

ifconfig -a
netstat -nr
покажи

[hroft]

Код: Выделить всё

gateway_enable="YES" 

в rc.conf есть.. машинка является шлюзом в интернет

# без подключения vpn

Код: Выделить всё

>netstat -nr 
Routing tables

Internet:
Destination        Gateway            Flags    Refs      Use  Netif Expire
default            213.24.17.165      UGS         0    21777    rl0
10.4.1/24          link#1             UC          0        0   sis0
10.4.1.2           00:0e:0c:3e:dc:8e  UHLW        1       72   sis0   1184
10.4.1.4           00:19:99:12:b6:ea  UHLW        1        8   sis0   1157
10.4.1.44          00:1d:60:79:5c:9b  UHLW        1       96   sis0   1102
10.4.1.117         00:13:20:cb:4d:b6  UHLW        1       94   sis0    711
10.4.1.123         00:17:31:53:74:d2  UHLW        1    30417   sis0    784
10.4.1.125         00:13:20:cb:4e:35  UHLW        1      120   sis0    333
10.4.1.201         00:15:f2:e6:6a:23  UHLW        1       76   sis0    532
10.4.1.202         00:19:d1:91:bb:ce  UHLW        1       33   sis0    955
127.0.0.1          127.0.0.1          UH          0      672    lo0
213.24.17          link#2             UC          0        0    rl0
213.24.17.165      00:0f:a3:10:33:f4  UHLW        2        0    rl0   1075

Internet6:
Destination                       Gateway                       Flags      Netif Expire
::1                               ::1                           UHL         lo0
fe80::%lo0/64                     fe80::1%lo0                   U           lo0
fe80::1%lo0                       link#3                        UHL         lo0
ff01:3::/32                       fe80::1%lo0                   UC          lo0
ff02::%lo0/32                     fe80::1%lo0                   UC          lo0

>ifconfig -a
sis0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500
        options=8<VLAN_MTU>
        inet 10.4.1.1 netmask 0xffffff00 broadcast 10.4.1.255
        ether 00:11:2f:45:a9:56
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
rl0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500
        options=8<VLAN_MTU>
        inet 213.24.17.166 netmask 0xffffff00 broadcast 213.24.17.255
        ether 00:c0:26:2e:a1:3c
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384
        inet6 fe80::1%lo0 prefixlen 64 scopeid 0x3
        inet6 ::1 prefixlen 128
        inet 127.0.0.1 netmask 0xff000000
tun0: flags=8010<POINTOPOINT,MULTICAST> mtu 1500
tun1: flags=8010<POINTOPOINT,MULTICAST> mtu 1500

#при подключенном vpn

Код: Выделить всё

>netstat -nr
Routing tables

Internet:
Destination        Gateway            Flags    Refs      Use  Netif Expire
default            213.24.17.165      UGS         0    23037    rl0
10.4.1/24          link#1             UC          0        0   sis0
10.4.1.2           00:0e:0c:3e:dc:8e  UHLW        1       72   sis0   1154
10.4.1.4           00:19:99:12:b6:ea  UHLW        1        8   sis0    994
10.4.1.44          00:1d:60:79:5c:9b  UHLW        1       96   sis0    939
10.4.1.117         00:13:20:cb:4d:b6  UHLW        1       94   sis0    548
10.4.1.123         00:17:31:53:74:d2  UHLW        1    37418   sis0    621
10.4.1.125         00:13:20:cb:4e:35  UHLW        1      120   sis0    170
10.4.1.201         00:15:f2:e6:6a:23  UHLW        1       76   sis0    369
10.4.1.202         00:19:d1:91:bb:ce  UHLW        1       34   sis0   1160
10.4.1.240         10.4.1.1           UH          0       11   tun0
10.4.1.240         00:11:2f:45:a9:56  UHLS2       1        0   sis0
127.0.0.1          127.0.0.1          UH          0      672    lo0
213.24.17          link#2             UC          0        0    rl0
213.24.17.165      00:0f:a3:10:33:f4  UHLW        2        0    rl0   1132

Internet6:
Destination                       Gateway                       Flags      Netif Expire
::1                               ::1                           UHL         lo0
fe80::%lo0/64                     fe80::1%lo0                   U           lo0
fe80::1%lo0                       link#3                        UHL         lo0
ff01:3::/32                       fe80::1%lo0                   UC          lo0
ff01:4::/32                       link#4                        UC         tun0
ff02::%lo0/32                     fe80::1%lo0                   UC          lo0
ff02::%tun0/32                    link#4                        UC         tun0

>ifconfig -a
sis0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500
        options=8<VLAN_MTU>
        inet 10.4.1.1 netmask 0xffffff00 broadcast 10.4.1.255
        ether 00:11:2f:45:a9:56
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
rl0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500
        options=8<VLAN_MTU>
        inet 213.24.17.166 netmask 0xffffff00 broadcast 213.24.17.255
        ether 00:c0:26:2e:a1:3c
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384
        inet6 fe80::1%lo0 prefixlen 64 scopeid 0x3
        inet6 ::1 prefixlen 128
        inet 127.0.0.1 netmask 0xff000000
tun0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1398
        inet 10.4.1.1 --> 10.4.1.240 netmask 0xffffffff
        Opened by PID 64607
tun1: flags=8010<POINTOPOINT,MULTICAST> mtu 1500

[paradox]

rl0 это шлюз в инетенет?
а vpn сервер вам нужен для того что бы раздавать инетв локальную сеть?

[hroft]

sis0-смотрит в локалку
rl0- смотрит на ружу(adsl модем)
через vpn я хочу из дома в случае необходимости заходить на Windoes сервера в локалке по rdp.. к фре доступ по ssh есть...

[paradox]

есть вариант по проще
без vpn
если я так понял нужно через интеренет коннетиться по RDP к серварам локалки которые под виндой
то можно просто пробросить соединения
будете удаленно в rdp клиенте вводить ip и port и попадать на опеределенный комп винды который внутри сети
внешний ip же у вас статический?

это пойдет?
или нужен именно vpn

[hroft]

думаю что подойдет. А по безопасности что лучше?

[paradox]

по безопасности говорят что лучше OpenVPN
но я никогда его не настраивал
нужно ждать когда народ подтянеться на форум) тогда скажут


но если вы в виндовсе уверены
то один проброшеный порт RDP его секьюрности врядли нарушит
но некоторые и етого бояться
так что все на ваши знания

[hroft]

Спасибо за ответ! Я пробовал OpenVPN.. както не сложилось... попробую его настроить...
Просто данный вариант меня устраивал.. вроде как и более мение безопасно и просто в настройке...

[paradox]

проще всего это когда пробрасываеться порт
а вся секьюрность уходит на винду

а то получаеться что это система которую страшно к интернету подключить)

[hroft]

есть мнение что если перебросить rdp то существует большая вероятность подбора паролей брутфосом... конечно можно сделать отключение(блокировку) при например 5 неправильных входах в систему( это я про виндовс), но тогда при скомпрометированном логине админа получается плохо.. и злоумышленник не войдет и админ тоже
Я читал что эти вещи(блокирование по IP злоумышленника) можно сделать средствами IPFW, но к сожалению всей полноты знаний по данному вопросу не имю. То что на GooleЛ
по информативности не очень. Данный сайт как и форум просто супер! Попробую поспрашивать, мож кто чего по данной тематике подскажет.

[hroft]

ну вот.. опять юные дарования по ssh брутфорсят... пошел прикрою ssh

[paradox]

можно пробросить порт на freebsd
и на freebsd так же указать в фаерволе с какого ip можно коннетиться по RDP и все
если конечно Ip с которого коннектитесь уникальный и вы за него ручаетесь
и все будет путем

[RapteR]

PoPToP в трэш. Юзайте mpd5. Настроил недавно и до сих пор не могу нарадоваться. Сетку за сервером видно прекрасно, пока проблем не возникало. Касательно OpenVPN могу у коллеги попросить конфиги, он поднимал недавно. Но с другой стороны OpenVPN это все конечно классно, но если будет необходимость подключиться не из дома? Где тогда сертефикаты брать? Да и самого его ставить надо - лишний гемор.

[hroft]

ушел читать про mpd5. спасибо за совет!