VPN на PoPToP. Подключение двух клиентов.

Проблемы установки, настройки и работы Правильной Операционной Системы

Модератор: terminus

Правила форума
Убедительная просьба юзать теги [cоde] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
Аватара пользователя
cheshire_cat
рядовой
Сообщения: 24
Зарегистрирован: 2008-10-30 23:53:22

VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение cheshire_cat » 2008-10-31 0:51:45

Всем привет! Мужики, совсем убился форумы читать, конфиги ковырять. Помогите, пожалуйста, похоже, одному не осилить…

Сначала задача:
Сделать так, чтобы люди из удаленного офиса (ну и я из дома) могли подключаться к внутренней сетке конторы и работать на терминальном сервере.

Имеется:

Головной офис.
Сеть из ~20 компов + шлюз в интернет (со SQUID'ом, поднятом, кстати, тоже по статье lissyar'ы) на базе FreeBSD 7.0. Шлюз имеет внутренний IP 192.168.0.100, все остальные (192.168.0.2 - 192.168.0.99) работают через непрозрачный проксик с аутентификацией по паролю и с НАТом на icq, почту и т.п. У шлюза есть вторая сетевуха с внешним (белым) IP адресом от провайдера.

Удаленный офис:
Два компа под виндой (XP Pro) – один выполняет роль шлюза с подключением к интернету по модему SkyLink. Его внутренний IP – 192.168.1.1. Внешний – провайдерский от модема. Второй подключается к инету через первый, IP – 192.168.1.2.

Мой дом:
Небольшая сеть на 3 машины, сидим за ADSL-роутером на NAT’e. IP моей машины – 192.168.1.2. Она под WinXP.

Излагаю суть проблемы:
Настроил сервер входящих VPN-подключений под FreeBSD 7.0 на основе PoPToP. Настраивал все по статье lissyar'ы - http://www.lissyara.su/?id=1073. В принципе, когда я учел замечания из комментариев, это чудо заработало. Я долго радовался, что могу рулить серваками из дома, пока не подключил удаленный офис (собственно, ради чего все это и было задуманно). В общем, в удаленном офисе не могут одновременно оба компа подключится к сетке. Точнее, подключится-то они могут, но в итге работает только тот, что первый подключился. Со второго не уходят пинги, не приходят к нему и, естественно, никакие другие удаленные приложения (RDP, например) тоже не работают.
Как я понял, суть такой проблемы в неумении PoPToP (а точнее GRE) работать за НАТ’ом нескольким клиентам одновременно. Но, может быть, эту проблему я бы и решил, но вот что непонятно. Даже если машины не находятся за одним НАТовым роутером, все равно, не могут подключится вдвоем. Эффект тот же. Само VPN-подключение устанавливается, а дальше не идет ничего на второй по счету подключившейся машине (Для первой все ОК). Причем, даже туннельный интерфейс для нее не поднимается. Выглядит, как и обычно:

tun0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> metric 0 mtu 1398
inet 192.168.0.200 --> 192.168.0.201 netmask 0xffffffff
Opened by PID 96196
tun1: flags=8010<POINTOPOINT,MULTICAST> metric 0 mtu 1500


Короче, сейчас есть две сложности. Во-первых, сделать возможным одновременную работу с внутренними ресурсами сети для двух машин, сидящих за разными роутерами (вообще никак не связанных). Во-вторых, то же, что и в предыдущем пункте, но для машин, находящихся за одним роутером с NAT.

Теперь конфиги:

pptpd.conf

Код: Выделить всё

ppp /usr/sbin/ppp
noipparam


ppp.conf

Код: Выделить всё

default:
 disable ipv6cp
 disable ipv6

pptp:
 enable proxy
 enable MSChapV2
 set timeout 0
 set dns 192.168.0.2
 set mppe 128 stateless
 set ifaddr 192.168.0.200 192.168.0.201-192.168.0.210 255.255.255.255
ppp.secret

Код: Выделить всё

cc      **********      192.168.0.201
denny   **********      192.168.0.202
ivanov  **********      192.168.0.203
olga    **********      192.168.0.204
sly     **********      192.168.0.205
rc.firewall

Код: Выделить всё

#!/bin/sh
# Simple config
# Vars

FwCMD="/sbin/ipfw -q "
LanOut="vr0"
LanIn="xl0"
IpOut="xxx.xxx.xxx.xxx"
IpIn="192.168.0.100"
NetMaskIn="24"
NetMaskOut="27"
NetIn="192.168.0.0"
NetOut="xxx.xxx.xxx.0"

# Init
${FwCMD} -f flush

# HZ
${FwCMD} add 100 check-state

# Loopback
${FwCMD} add 1100 allow ip from any to any via lo0
${FwCMD} add 1200 deny ip from any to 127.0.0.0/8
${FwCMD} add 1300 deny ip from 127.0.0.0/8 to any

# Forbid internal network on external interface
${FwCMD} add 2100 deny ip from ${NetIn}/${NetMaskIn} to any in via ${LanOut}
# Forbid external network on internal interface
${FwCMD} add 2200 deny ip from ${NetOut}/${NetMaskOut} to any in via ${LanIn}

# Forbid private networks
${FwCMD} add 3100 deny ip from any to 10.0.0.0/8 in via ${LanOut}
${FwCMD} add 3200 deny ip from any to 172.16.0.0/12 in via ${LanOut}
${FwCMD} add 3300 deny ip from any to 192.168.0.0/16 in via ${LanOut}
${FwCMD} add 3400 deny ip from any to 0.0.0.0/8 in via ${LanOut}

# Forbid frag icmp
${FwCMD} add 4100 deny icmp from any to any frag

# Forbid broadcast icmp
${FwCMD} add 5100 deny log icmp from any to 255.255.255.255 in via ${LanOut}
${FwCMD} add 5200 deny log icmp from any to 255.255.255.255 out via ${LanOut}

# Transparent squid
#${FwCMD} add 6100 fwd 127.0.0.1,3128 tcp from ${NetIn}/${NetMaskIn} to any 80 via ${LanOut}

# Forbid non-proxy http traffic
${FwCMD} add 7100 allow all from ${IpOut} to any 80 via ${LanOut}
${FwCMD} add 7200 allow all from ${IpOut} to any 443 via ${LanOut}
${FwCMD} add 7300 allow all from ${IpOut} to any 21 via ${LanOut}
${FwCMD} add 7400 allow all from any to ${IpIn} 3128 via ${LanIn}
${FwCMD} add 7500 deny all from ${NetIn}/${NetMaskIn} to not ${NetIn}/${NetMaskIn} 80,21,443
#${FwCMD} add 7600 deny all from ${NetIn}/${NetMAskIn} to any 80 via ${LanOut}

# NAT
${FwCMD} add 8100 divert natd ip from ${NetIn}/${NetMaskIn} to any out via ${LanOut}
${FwCMD} add 8200 divert natd ip from any to ${IpOut} in via ${LanOut}

# PPTP access
${FwCMD} add 8500 allow tcp from any to me 1723
${FwCMD} add 8600 allow gre from any to any
${FwCMD} add 8700 allow ip from any to any via tun0
${FwCMD} add 8710 allow ip from any to any via tun1
${FwCMD} add 8720 allow ip from any to any via tun2
${FwCMD} add 8730 allow ip from any to any via tun3
${FwCMD} add 8740 allow ip from any to any via tun4

# Forbid private networks
${FwCMD} add 9100 deny ip from 10.0.0.0/8 to any out via ${LanOut}
${FwCMD} add 9200 deny ip from 172.16.0.0/12 to any out via ${LanOut}
${FwCMD} add 9300 deny ip from 192.168.0.0/16 to any out via ${LanOut}
${FwCMD} add 9400 deny ip from 0.0.0.0/8 to any out via ${LanOut}

# Traffic counters
# Outgoing SMTP
${FwCMD} add 10100 count tcp from any to any 25 out via ${LanOut}
# Incoming POP3
${FwCMD} add 10200 count tcp from any 110 to any in via ${LanOut}
# Incoming Web
${FwCMD} add 10300 count tcp from any 80,443 to any in via ${LanOut}
# ICQ traffic
${FwCMD} add 10400 count all from any 5190 to any via ${LanOut}
# Incoming All
${FwCMD} add 10700 count all from any to any in via ${LanOut}
# Outgoing All
${FwCMD} add 10800 count all from any to any out via ${LanOut}
# Incoming + Outgoing All
${FwCMD} add 10900 count all from any to any via ${LanOut}

# Allow established
${FwCMD} add 12100 allow tcp from any to any established

# Allow all for gateway
${FwCMD} add 13100 allow ip from ${IpOut} to any out xmit ${LanOut}

# Allow DNS request
${FwCMD} add 14100 allow udp from any 53 to any via ${LanOut}

# Allow time synchronization
${FwCMD} add 14200 allow udp from any to any 123 via ${LanOut}

# Allow pings
${FwCMD} add 14300 allow icmp from any to any icmptypes 0,8,11

# Allow SMTP server
${FwCMD} add 14400 allow tcp from any to ${IpOut} 25 via ${LanOut}
${FwCMD} add 14500 allow tcp from any to 192.168.0.2 25 via ${LanOut}

# Allow SSH
${FwCMD} add 14600 allow tcp from any to ${IpOut} 22 via ${LanOut}
${FwCMD} add 14700 allow tcp from any to ${IpIn} 22 via ${LanIn}

# Allow POP3 server
${FwCMD} add 14800 allow tcp from any to ${IpOut} 110 via ${LanOut}
${FwCMD} add 14900 allow tcp from any to 192.168.0.2 110 via ${LanOut}

# Allow internal traffic
${FwCMD} add 16100 allow ip from any to any via ${LanIn}

# Allow ICQ
${FwCMD} add 16200 allow all from ${NetIn}/${NetMaskIn} to any 5190 in via ${LanIn} setup

# Allow outgoing SMTP
${FwCMD} add 16300 allow all from ${NetIn}/${NetMaskIn} to any 25 in via ${LanIn} setup

# Allow DNS request
${FwCMD} add 16400 allow all from ${NetIn}/${NetMaskIn} to any 53 in via ${LanIn} setup

# Allow NTP syncronization
${FwCMD} add 16500 allow tcp from ${NetIn}/${NetMaskIn} to any 123 in via ${LanIn} setup
natd.conf

Код: Выделить всё

interface vr0
same_ports
unregistered_only
redirect_port tcp 192.168.0.2:25 25
redirect_port tcp 192.168.0.2:110 110
Теперь логи:

ppp.log (ПОДКЛЮЧЕНИЕ)

Код: Выделить всё

Oct 31 00:43:31 gateway ppp[96299]: Phase: Using interface: tun0
Oct 31 00:43:31 gateway ppp[96299]: Phase: deflink: Created in closed state
Oct 31 00:43:31 gateway ppp[96299]: Phase: PPP Started (direct mode).
Oct 31 00:43:31 gateway ppp[96299]: Phase: bundle: Establish
Oct 31 00:43:31 gateway ppp[96299]: Phase: deflink: closed -> opening
Oct 31 00:43:31 gateway ppp[96299]: Phase: deflink: Connected!
Oct 31 00:43:31 gateway ppp[96299]: Phase: deflink: opening -> carrier
Oct 31 00:43:31 gateway ppp[96299]: Phase: deflink: carrier -> lcp
Oct 31 00:43:31 gateway ppp[96299]: Phase: bundle: Authenticate
Oct 31 00:43:31 gateway ppp[96299]: Phase: deflink: his = none, mine = CHAP 0x81
Oct 31 00:43:31 gateway ppp[96299]: Phase: Chap Output: CHALLENGE
Oct 31 00:43:31 gateway ppp[96299]: Phase: Chap Input: RESPONSE (49 bytes from cc)
Oct 31 00:43:31 gateway ppp[96299]: Phase: Chap Output: SUCCESS
Oct 31 00:43:31 gateway ppp[96299]: Phase: deflink: lcp -> open
Oct 31 00:43:31 gateway ppp[96299]: Phase: bundle: Network
Oct 31 00:43:31 gateway ppp[96299]: Warning: ff02:4::/32: Change route failed: errno: Network is unreachable
Oct 31 00:43:31 gateway ppp[96299]: Warning: ff02:4::/32: Change route failed: errno: Network is unreachable
ppp.log (РАЗЪЕДИНЕНИЕ)

Код: Выделить всё

Oct 31 00:45:04 gateway ppp[96299]: Phase: deflink: open -> lcp
Oct 31 00:45:04 gateway ppp[96299]: Warning: ff02:4::/32: Change route failed: errno: Network is unreachable
Oct 31 00:45:04 gateway ppp[96299]: Phase: bundle: Terminate
Oct 31 00:45:04 gateway ppp[96299]: Phase: deflink: read (0): Got zero bytes
Oct 31 00:45:04 gateway ppp[96299]: Phase: deflink: Disconnected!
Oct 31 00:45:04 gateway ppp[96299]: Phase: deflink: Connect time: 93 secs: 1282 octets in, 504 octets out
Oct 31 00:45:04 gateway ppp[96299]: Phase: deflink: 21 packets in, 15 packets out
Oct 31 00:45:04 gateway ppp[96299]: Phase:  total 19 bytes/sec, peak 646 bytes/sec on Fri Oct 31 00:43:32 2008
Oct 31 00:45:04 gateway ppp[96299]: Phase: deflink: lcp -> closed
Oct 31 00:45:04 gateway ppp[96299]: Phase: bundle: Dead
Oct 31 00:45:04 gateway ppp[96299]: Phase: PPP Terminated (normal).
Предваряя ваш вопрос о форвардинге:

Код: Выделить всё

gateway_enable="YES"
КУСОК rc.conf

Код: Выделить всё

sshd_enable="YES"
mysql_enable="YES"
apache_enable="YES"
squid_enable="YES"
samsd_enable="YES"
firewall_enable="YES"
firewall_type="/etc/rc.firewall"
firewal_logging="YES"
natd_enable="YES"
# natd_interface="vr0"
natd_flags="-f /etc/natd.conf"
P.S. Пожалуй, мне пока нечего больше добавить... :(
Помогите, пожалуйста :oops:
Последний раз редактировалось cheshire_cat 2008-10-31 17:05:16, всего редактировалось 1 раз.

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

paradox
проходил мимо
Сообщения: 11620
Зарегистрирован: 2008-02-21 18:15:41

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение paradox » 2008-10-31 1:06:48

нужен лог второго подключение
что бы понять почему второй интерфейс не поднимаеться

Аватара пользователя
cheshire_cat
рядовой
Сообщения: 24
Зарегистрирован: 2008-10-30 23:53:22

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение cheshire_cat » 2008-10-31 12:07:35

Лог второго подключения:

Код: Выделить всё

Oct 31 11:47:40 gateway ppp[2451]: Phase: Using interface: tun1
Oct 31 11:47:40 gateway ppp[2451]: Phase: deflink: Created in closed state
Oct 31 11:47:40 gateway ppp[2451]: Phase: PPP Started (direct mode).
Oct 31 11:47:40 gateway ppp[2451]: Phase: bundle: Establish
Oct 31 11:47:40 gateway ppp[2451]: Phase: deflink: closed -> opening
Oct 31 11:47:40 gateway ppp[2451]: Phase: deflink: Connected!
Oct 31 11:47:40 gateway ppp[2451]: Phase: deflink: opening -> carrier
Oct 31 11:47:40 gateway ppp[2451]: Phase: deflink: carrier -> lcp
Oct 31 11:47:40 gateway ppp[2451]: Phase: bundle: Authenticate
Oct 31 11:47:40 gateway ppp[2451]: Phase: deflink: his = none, mine = CHAP 0x81
Oct 31 11:47:40 gateway ppp[2451]: Phase: Chap Output: CHALLENGE
Oct 31 11:47:40 gateway ppp[2451]: Phase: Chap Input: RESPONSE (49 bytes from cc)
Oct 31 11:47:40 gateway ppp[2451]: Phase: Chap Output: SUCCESS
Oct 31 11:47:40 gateway ppp[2451]: Phase: deflink: lcp -> open
Oct 31 11:47:40 gateway ppp[2451]: Phase: bundle: Network
Oct 31 11:47:40 gateway ppp[2451]: Warning: ff02:5::/32: Change route failed: errno: Network is unreachable
ifconfig -a

Код: Выделить всё

...
tun0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> metric 0 mtu 1398
        inet 192.168.0.200 --> 192.168.0.204 netmask 0xffffffff
        Opened by PID 1478
tun1: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> metric 0 mtu 1398
        inet 192.168.0.200 --> 192.168.0.201 netmask 0xffffffff
        Opened by PID 2451
route print на втором подключенном клиенте

Код: Выделить всё

===========================================================================
0x1 ........................... MS TCP Loopback interface
0x2 ...00 17 31 7c 67 16 ...... Marvell Yukon 88E8053 PCI-E Gigabit Ethernet Controller - Минипорт планировщика пакетов
0x460004 ...00 53 45 00 00 00 ...... WAN (PPP/SLIP) Interface
===========================================================================
===========================================================================
Активные маршруты:
Сетевой адрес       Маска сети     Адрес шлюза        Интерфейс      Метрика    
         0.0.0.0          0.0.0.0      192.168.1.1     192.168.1.2	  10
      84.52.77.27  255.255.255.255      192.168.1.1     192.168.1.2	  10
        127.0.0.0        255.0.0.0        127.0.0.1       127.0.0.1	  1
      192.168.0.0    255.255.255.0    192.168.0.201   192.168.0.201	  1
    192.168.0.201  255.255.255.255        127.0.0.1       127.0.0.1	  50
    192.168.0.255  255.255.255.255    192.168.0.201   192.168.0.201	  50
      192.168.1.0    255.255.255.0      192.168.1.2     192.168.1.2	  10
      192.168.1.2  255.255.255.255        127.0.0.1       127.0.0.1	  10
    192.168.1.255  255.255.255.255      192.168.1.2     192.168.1.2	  10
        224.0.0.0        240.0.0.0    192.168.0.201   192.168.0.201	  50
        224.0.0.0        240.0.0.0      192.168.1.2     192.168.1.2	  10
  255.255.255.255  255.255.255.255    192.168.0.201   192.168.0.201	  1
  255.255.255.255  255.255.255.255      192.168.1.2     192.168.1.2	  1
Основной шлюз:         192.168.1.1
===========================================================================
Постоянные маршруты:
Отсутствуют
А вот так происходит иногда - винда выдает ошибку 629, а

all.log

Код: Выделить всё

Oct 31 12:00:08 gateway syslogd: restart
Oct 31 12:00:32 gateway pptpd[2535]: CTRL: Client 91.122.49.142 control connection started
Oct 31 12:00:32 gateway pptpd[2535]: CTRL: Starting call (launching pppd, opening GRE)
Oct 31 12:00:32 gateway ppp[2536]: Phase: Using interface: tun1
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: Created in closed state
Oct 31 12:00:32 gateway ppp[2536]: Phase: PPP Started (direct mode).
Oct 31 12:00:32 gateway ppp[2536]: Phase: bundle: Establish
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: closed -> opening
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: Connected!
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: opening -> carrier
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: carrier -> lcp
Oct 31 12:00:32 gateway ppp[2536]: Phase: bundle: Authenticate
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: his = none, mine = CHAP 0x81
Oct 31 12:00:32 gateway ppp[2536]: Phase: Chap Output: CHALLENGE
Oct 31 12:00:32 gateway pptpd[2535]: CTRL: Ignored a SET LINK INFO packet with real ACCMs!
Oct 31 12:00:32 gateway kernel: Oct 31 12:00:32 gateway pptpd[2535]: CTRL: Ignored a SET LINK INFO packet with real ACCMs!
Oct 31 12:00:32 gateway ppp[2536]: Phase: Chap Input: RESPONSE (49 bytes from cc)
Oct 31 12:00:32 gateway ppp[2536]: Phase: Chap Output: SUCCESS
Oct 31 12:00:32 gateway ppp[2536]: Warning: iface add: ioctl(SIOCAIFADDR, 192.168.0.200 -> 192.168.0.201): File exists
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: lcp -> open
Oct 31 12:00:32 gateway ppp[2536]: Phase: bundle: Network
Oct 31 12:00:32 gateway ppp[2536]: Warning: ff02:5::/32: Change route failed: errno: Network is unreachable
Oct 31 12:00:32 gateway ppp[2536]: Warning: iface add: ioctl(SIOCAIFADDR, 192.168.0.200 -> 192.168.0.201): File exists
Oct 31 12:00:32 gateway ppp[2536]: Error: ipcp_InterfaceUp: unable to set ip address
Oct 31 12:00:32 gateway kernel: Oct 31 12:00:32 gateway ppp[2536]: Error: ipcp_InterfaceUp: unable to set ip address
Oct 31 12:00:32 gateway ppp[2536]: Warning: ipv4_Input: IPCP not open - packet dropped
Oct 31 12:00:32 gateway ppp[2536]: Phase: bundle: Terminate
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: open -> lcp
Oct 31 12:00:32 gateway ppp[2536]: Warning: ff02:5::/32: Change route failed: errno: Network is unreachable
Oct 31 12:00:32 gateway pptpd[2535]: CTRL: Reaping child PPP[2536]
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: read (0): Got zero bytes
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: Disconnected!
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: Connect time: 0 secs: 619 octets in, 518 octets out
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: 17 packets in, 16 packets out
Oct 31 12:00:32 gateway ppp[2536]: Phase:  total 1137 bytes/sec, peak 0 bytes/sec on Fri Oct 31 12:00:32 2008
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: lcp -> closed
Oct 31 12:00:32 gateway ppp[2536]: Phase: bundle: Dead
Oct 31 12:00:32 gateway ppp[2536]: Phase: PPP Terminated (normal).
Oct 31 12:00:32 gateway pptpd[2535]: CTRL: Client 91.122.49.142 control connection finished
Oct 31 12:00:08 gateway syslogd: restart
Oct 31 12:00:32 gateway pptpd[2535]: CTRL: Client 91.122.49.142 control connection started
Oct 31 12:00:32 gateway pptpd[2535]: CTRL: Starting call (launching pppd, opening GRE)
Oct 31 12:00:32 gateway ppp[2536]: Phase: Using interface: tun1
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: Created in closed state
Oct 31 12:00:32 gateway ppp[2536]: Phase: PPP Started (direct mode).
Oct 31 12:00:32 gateway ppp[2536]: Phase: bundle: Establish
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: closed -> opening
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: Connected!
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: opening -> carrier
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: carrier -> lcp
Oct 31 12:00:32 gateway ppp[2536]: Phase: bundle: Authenticate
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: his = none, mine = CHAP 0x81
Oct 31 12:00:32 gateway ppp[2536]: Phase: Chap Output: CHALLENGE
Oct 31 12:00:32 gateway pptpd[2535]: CTRL: Ignored a SET LINK INFO packet with real ACCMs!
Oct 31 12:00:32 gateway kernel: Oct 31 12:00:32 gateway pptpd[2535]: CTRL: Ignored a SET LINK INFO packet with real ACCMs!
Oct 31 12:00:32 gateway ppp[2536]: Phase: Chap Input: RESPONSE (49 bytes from cc)
Oct 31 12:00:32 gateway ppp[2536]: Phase: Chap Output: SUCCESS
Oct 31 12:00:32 gateway ppp[2536]: Warning: iface add: ioctl(SIOCAIFADDR, 192.168.0.200 -> 192.168.0.201): File exists
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: lcp -> open
Oct 31 12:00:32 gateway ppp[2536]: Phase: bundle: Network
Oct 31 12:00:32 gateway ppp[2536]: Warning: ff02:5::/32: Change route failed: errno: Network is unreachable
Oct 31 12:00:32 gateway ppp[2536]: Warning: iface add: ioctl(SIOCAIFADDR, 192.168.0.200 -> 192.168.0.201): File exists
Oct 31 12:00:32 gateway ppp[2536]: Error: ipcp_InterfaceUp: unable to set ip address
Oct 31 12:00:32 gateway kernel: Oct 31 12:00:32 gateway ppp[2536]: Error: ipcp_InterfaceUp: unable to set ip address
Oct 31 12:00:32 gateway ppp[2536]: Warning: ipv4_Input: IPCP not open - packet dropped
Oct 31 12:00:32 gateway ppp[2536]: Phase: bundle: Terminate
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: open -> lcp
Oct 31 12:00:32 gateway ppp[2536]: Warning: ff02:5::/32: Change route failed: errno: Network is unreachable
Oct 31 12:00:32 gateway pptpd[2535]: CTRL: Reaping child PPP[2536]
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: read (0): Got zero bytes
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: Disconnected!
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: Connect time: 0 secs: 619 octets in, 518 octets out
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: 17 packets in, 16 packets out
Oct 31 12:00:32 gateway ppp[2536]: Phase:  total 1137 bytes/sec, peak 0 bytes/sec on Fri Oct 31 12:00:32 2008
Oct 31 12:00:32 gateway ppp[2536]: Phase: deflink: lcp -> closed
Oct 31 12:00:32 gateway ppp[2536]: Phase: bundle: Dead
Oct 31 12:00:32 gateway ppp[2536]: Phase: PPP Terminated (normal).
Oct 31 12:00:32 gateway pptpd[2535]: CTRL: Client 91.122.49.142 control connection finished

Аватара пользователя
cheshire_cat
рядовой
Сообщения: 24
Зарегистрирован: 2008-10-30 23:53:22

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение cheshire_cat » 2008-10-31 17:07:51

В общем, на данный момент ситуация такая:

Подключается первый клиент. Все работает отлично.
Подключается второй клиент. Подключение проходит нормально, штатно. Потом вдруг (почти сразу) соединение рвется. При следующей попытке соединения возникает ошибка 629, а лог при подключении я приводил выше.

paradox
проходил мимо
Сообщения: 11620
Зарегистрирован: 2008-02-21 18:15:41

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение paradox » 2008-10-31 17:16:24

кажеться мне
сервер не так быстро успевает отработать запросы

Аватара пользователя
cheshire_cat
рядовой
Сообщения: 24
Зарегистрирован: 2008-10-30 23:53:22

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение cheshire_cat » 2008-10-31 17:21:11

И что мне делать? Вообще, там не такой уж и слабенький сервер...

paradox
проходил мимо
Сообщения: 11620
Зарегистрирован: 2008-02-21 18:15:41

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение paradox » 2008-10-31 17:25:12

дело не в сервере бсд
а в poptop как vpn сервера который может не успеватьбыстро отрабатывать запросы

это всего лишь предположение
можете попробовать что то альтернативное
mpd например

Аватара пользователя
torki
сержант
Сообщения: 164
Зарегистрирован: 2006-08-19 13:54:29
Откуда: г. Одесса

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение torki » 2008-10-31 17:51:46

Удаленный офис:
Два компа под виндой (XP Pro) – один выполняет роль шлюза с подключением к интернету по модему SkyLink. Его внутренний IP – 192.168.1.1. Внешний – провайдерский от модема. Второй подключается к инету через первый, IP – 192.168.1.2.

Мой дом:
Небольшая сеть на 3 машины, сидим за ADSL-роутером на NAT’e. IP моей машины – 192.168.1.2. Она под WinXP.
А теперь смотрим адресное пространство сетей:
1. Удаленный офис: 192.168.1.0
2. Мой дом: 192.168.1.0 !!!!!! вот тебе ньюанс :smile:
А самое интересное ни где не высвечивается конфликт ИП адресов, просто тупо рвет соединение или глючит!!!! :crazy:
Было у меня нечто подобное только с почтой, затем завел себе практику расчета сетей по телефонному номеру!
непример:
контора "рога и капыта" телефон 32-60-75
вот тебе и сетка 32.60.75.0 подсеть расчитываем любым ИП калькулятором!
Попробуй.
Полюбил Unix, Пиво и Кино.

Аватара пользователя
cheshire_cat
рядовой
Сообщения: 24
Зарегистрирован: 2008-10-30 23:53:22

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение cheshire_cat » 2008-10-31 22:53:24

Мысль ясна, хотя есть мнение, что это не должно влиять... В любом случае, попробую. Спасибо за совет.
О результатах отпишусь!

Аватара пользователя
cheshire_cat
рядовой
Сообщения: 24
Зарегистрирован: 2008-10-30 23:53:22

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение cheshire_cat » 2008-10-31 22:59:35

можете попробовать что то альтернативное
mpd например
Просто хотелось бы понять, почему это не работает. Конечно, если я не смогу решить проблему так, то перейду на mpd...

Но вот еще немаловажный вопрос - mpd же тоже не решит проблемы одновременного подключения двух клиентов, сидящих за одним NAT-роутером?

Аватара пользователя
cheshire_cat
рядовой
Сообщения: 24
Зарегистрирован: 2008-10-30 23:53:22

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение cheshire_cat » 2008-11-01 14:04:56

Пока решил попробовать SSH туннелирование. Если я правильно понимаю, оно лучше всего подходит для моих целей. Если у кого-нибудь есть информация, как это лучше сделать, поделитесь, пожалуйста.

Аватара пользователя
cheshire_cat
рядовой
Сообщения: 24
Зарегистрирован: 2008-10-30 23:53:22

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение cheshire_cat » 2008-11-02 14:38:19

В общем, я понял... Разговариваю сам с собой... :(

paradox
проходил мимо
Сообщения: 11620
Зарегистрирован: 2008-02-21 18:15:41

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение paradox » 2008-11-02 20:40:03

Как я понял, суть такой проблемы в неумении PoPToP (а точнее GRE) работать за НАТ’ом нескольким клиентам одновременно. Но, может быть, эту проблему я бы и решил, но вот что непонятно.


если даже где то закрыт GRE
то у вас vpn даже и не подключиться
а если подключаеться значит все нормально
Даже если машины не находятся за одним НАТовым роутером, все равно, не могут подключится вдвоем
это проблема уже другого характера
А вот так происходит иногда - винда выдает ошибку 629, а
Oct 31 12:00:32 gateway ppp[2536]: Warning: iface add: ioctl(SIOCAIFADDR, 192.168.0.200 -> 192.168.0.201): File exists
Oct 31 12:00:32 gateway ppp[2536]: Error: ipcp_InterfaceUp: unable to set ip address
Oct 31 12:00:32 gateway kernel: Oct 31 12:00:32 gateway ppp[2536]: Error: ipcp_InterfaceUp: unable to set ip address
ни о чем вам не говорит???

Аватара пользователя
cheshire_cat
рядовой
Сообщения: 24
Зарегистрирован: 2008-10-30 23:53:22

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение cheshire_cat » 2008-11-02 20:55:45

ни о чем вам не говорит???
Эмм... Я не уверен, но кажется он говорит, что не может добавить интерфейс с таким IP-адресом.

Это могло бы происходить, если бы я пытался подключиться с учетной записью, с которой уже создано подключение, так как у меня выдается IP-адрес по логину. Но в случае, когда я привел лог ошибки, я пытался подключится с другого логина...
если даже где то закрыт GRE
то у вас vpn даже и не подключиться
а если подключаеться значит все нормально
Здесь мы похоже не поняли друг друга. Я хочу уточнить, правда ли то, что два клиента, находящихся за одним роутером с NAT не смогут одновременно подключиться к одному VPN-серверу, если используется протокол GRE.
это проблема уже другого характера
Я и пытаюсь ее решить...

paradox
проходил мимо
Сообщения: 11620
Зарегистрирован: 2008-02-21 18:15:41

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение paradox » 2008-11-02 21:10:37

правда ли то, что два клиента, находящихся за одним роутером с NAT не смогут одновременно подключиться к одному VPN-серверу, если используется протокол GRE
несмогут
токо если
обоим клиентам выдаеться один и тот же айпи адресс


в случае
Эмм... Я не уверен, но кажется он говорит, что не может добавить интерфейс с таким IP-адресом.

Это могло бы происходить, если бы я пытался подключиться с учетной записью, с которой уже создано подключение, так как у меня выдается IP-адрес по логину. Но в случае, когда я привел лог ошибки, я пытался подключится с другого логина.
я уже сказал свое менине
о том что ppp медленно отабатывает подключение
и подимает и опускает tun интерфейс
пробуй mpd

ну и уже лог от туда покажешь
что там будет происходить - если будут ошибки

Аватара пользователя
cheshire_cat
рядовой
Сообщения: 24
Зарегистрирован: 2008-10-30 23:53:22

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение cheshire_cat » 2008-11-02 21:24:21

Спасибо большое за помощь, но в таком случае, я просто сделаю прокидку туннеля SSH для своих целей. Это проще и полностью удовлетворяет задаче. Да, и еще большой плюс: как я понимаю, в случае с туннелем SSH не будет проблем с одновременным подключением нескольких человек за одним NAT'ом. Я прав?

Если можете помочь по этой теме, милости прошу в другую ветку:
http://forum.lissyara.su/viewtopic.php?f=8&t=12149

paradox
проходил мимо
Сообщения: 11620
Зарегистрирован: 2008-02-21 18:15:41

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение paradox » 2008-11-02 21:34:07

Да, и еще большой плюс: как я понимаю, в случае с туннелем SSH не будет проблем с одновременным подключением нескольких человек за одним NAT'ом. Я прав
проблемы и так нет
вы ее придумали

а будет она токо когда
вы выдаете клиентам один и тот же айпи адресс
дугих проблем там нет
вобщем случае вам видней что вам удобней использовать

Аватара пользователя
cheshire_cat
рядовой
Сообщения: 24
Зарегистрирован: 2008-10-30 23:53:22

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение cheshire_cat » 2008-11-03 14:34:54

проблемы и так нет
вы ее придумали

а будет она токо когда
Может и придумал, но вот что написано в документации к PoPToP:
http://poptop.sourceforge.net/dox/qna.html#17

paradox
проходил мимо
Сообщения: 11620
Зарегистрирован: 2008-02-21 18:15:41

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение paradox » 2008-11-03 17:17:14

Q. I cannot connect from more than one computer at the same time.

A. PPTP uses protocol GRE (47) for it's tunnel. When two clients behind a single NAT firewall connect to the same PPTP server, their source IP address will be rewritten by their firewall. In this case, the GRE sockets in two pptpctrl processes will be reading GRE packets from both clients. The only way to distinguish between those two clients is to filter them by destination call ID number found in the GRE header. In order for the client NAT firewall to correctly rewrite the PPTP server's replies, please check Philip Craig's netfilter pptp helper module available from the Netfilter CVS server:
cvs -d :pserver:cvs@pserver.netfilter.org:/cvspublic login
When it asks you for a password type `cvs'
cvs -d :pserver:cvs@pserver.netfilter.org:/cvspublic co netfilter-extensions/helpers/pptp
ну естественно
но что бы сотворить такую ситуацию это нужно очень постараться
потому как в обычно наружу в инет даеться реал айпи
а внутреннюю сеть рулит сам пользователь

я говорил о другом
ну да ладно
вам решать что вам больше походит

Аватара пользователя
cheshire_cat
рядовой
Сообщения: 24
Зарегистрирован: 2008-10-30 23:53:22

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение cheshire_cat » 2008-11-03 18:53:32

ну естественно
но что бы сотворить такую ситуацию это нужно очень постараться
потому как в обычно наружу в инет даеться реал айпи
а внутреннюю сеть рулит сам пользователь

я говорил о другом
ну да ладно
вам решать что вам больше походит
Так, все, я сдаюсь! Объясните мне, пожалуйста, что Вы имеете в виду. Я уже совсем запутался.
Вот есть ситуация: VPN-сервер с внешним IP. К нему через Интернет подключаются два клиента. Эти клиенты сидят в одной подсети 192.168.1.х за одним роутером (NAT). У роутера нет внешнего IP, и вообще, он подключается к Интернет через Skylink. Внутренняя подсеть VPN-сервера (он выполняет еще и роль шлюза в Интернет для своей подсети) 192.168.0.х. Этим клиентам выдаются ip вида 192.168.0.Х1 и 192.168.0.Х2.
Будет ли такая конфигурация нормально работать?!

Код: Выделить всё

Comp1--\                                   / SubNet 192.168.0.x
       -- ROUTER - {Internet} - VPN-server - SubNet 192.168.0.x
Comp2--/                                   \ SubNet 192.168.0.x

paradox
проходил мимо
Сообщения: 11620
Зарегистрирован: 2008-02-21 18:15:41

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение paradox » 2008-11-03 22:18:20

если Comp1 и Comp2 давать vpn то судя из FAQ будет работать только один
поэтому
это тот случай что может незаработать


но его можно сделать по другому
эти Comp1и Comp2 ж хотят видеть сеть за VPN серверм ? так я понимаю?

поэтоум на роутере подниаметься VPN клиент до VPN сервера
и рисуеться красивый роутинг
и вуаля
Comp1 и Comp2 видят сеть за VPN сервером
даже неиспользуя VPN подключение

как вараинт этотже VPN можно заменить OpenVPN
либо простым тунелем gif
если и роутер и сервер VPN - это unix

Аватара пользователя
cheshire_cat
рядовой
Сообщения: 24
Зарегистрирован: 2008-10-30 23:53:22

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение cheshire_cat » 2008-11-04 0:29:33

если Comp1 и Comp2 давать vpn то судя из FAQ будет работать только один
поэтому
это тот случай что может незаработать
Ну, значит, я еще в адеквате. Я ведь это и имел в виду.
но его можно сделать по другому
эти Comp1и Comp2 ж хотят видеть сеть за VPN серверм ? так я понимаю?
Да нет, это не обязательно. Даже наоборот, для безопасности, я бы все равно закрыл им все сервисы, кроме RDP.
поэтоум на роутере подниаметься VPN клиент до VPN сервера
и рисуеться красивый роутинг
и вуаля
Comp1 и Comp2 видят сеть за VPN сервером
даже неиспользуя VPN подключение

как вараинт этотже VPN можно заменить OpenVPN
либо простым тунелем gif
если и роутер и сервер VPN - это unix
Такой вариант тоже рассматривался, но он не подошел по некоторым причинам. Например, нежелание руководства ставить еще один компьютер... Таким образом, в филиале нет роутера с Unix - там вообще в качестве роутера используется один из этих двух компов с WinXP на борту...

paradox
проходил мимо
Сообщения: 11620
Зарегистрирован: 2008-02-21 18:15:41

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение paradox » 2008-11-04 0:33:33

ROUTER - {Internet}
это кто такой
комп?
ОС?

Аватара пользователя
cheshire_cat
рядовой
Сообщения: 24
Зарегистрирован: 2008-10-30 23:53:22

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение cheshire_cat » 2008-11-04 1:01:38

это кто такой
комп?
ОС?
ОС: WinXP Pro.
Интернет шарится с помощью встроенных средств Internet Connection Sharing. Доступ в Интернет с помощью глючного модема Skylink.
Комп: просто офисный труженик, что-то вроде Intel Celeron 4, 512 МБ ОЗУ, не помню какой винчестер.

А что?

paradox
проходил мимо
Сообщения: 11620
Зарегистрирован: 2008-02-21 18:15:41

Re: VPN на PoPToP. Подключение двух клиентов.

Непрочитанное сообщение paradox » 2008-11-04 1:18:44

Comp1--\ / SubNet 192.168.0.x
-- ROUTER - {Internet} - VPN-server - SubNet 192.168.0.x
Comp2--/ \ SubNet 192.168.0.x
просто смысл схемы с тем что бы дать кажому CompX отдельный vpn мне несовсем ясен....