forum.opennet.ru - "нужна помошь в установке VPN сервера на Fedora6" (19)

форумы

помощь

поиск

регистрация

майллист

вход/выход

слежка

"нужна помошь в установке VPN сервера на Fedora6"

Форумы OpenNET: Виртуальная конференция (Public)
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"нужна помошь в установке VPN сервера на Fedora6"
Сообщение от Владимир (??) on 12-Мрт-09, 16:13
Цель: поставить VPN сервак дома и с работы подключаться к своей сети. тем самым иметь свой интернет со своим набором открытых портов так как на работе порты урезаны. На работе я подключаюсь к рабочему VPN (после подключения доступ в инет есть через проксю), а затем создаю еще одно соединение с домашним VPN. VPN-настроен и работает. Клиент с винды конектится через vpn к серверу и даже видит этот сервер и его ресурсы. Мало того, tracert строит адекватный маршрут через VPN например до www.ya.ru Трассировка маршрута к ya.ru [213.180.204.8] с максимальным числом прыжков 30: 1 26 ms 26 ms 28 ms internal-rfc1918.hn.nnov.stream.ru [10.0.0.1] 2 25 ms 25 ms 27 ms internal-rfc1918.hn.nnov.stream.ru [192.168.1.1] #домашняя машина 3 39 ms 37 ms 39 ms 95-37-0-1.dynamic.mts-nn.ru [95.37.0.1] 4 32 ms 31 ms 45 ms 79.126.125.1 5 32 ms 33 ms 31 ms 79.126.126.162 6 38 ms 39 ms 63 ms xe210-301.RT.V10.MSK.RU.retn.net [87.245.244.5] 7 39 ms 39 ms 41 ms GW-Yandex.retn.net [87.245.253.26] 8 49 ms 47 ms 47 ms ya.ru [213.180.204.8] Трассировка завершена. НО... не все так без облачно. Пинговать то я могу пинговать, а вот браузер выйти в инет не может. При наборе адреса повисает и молчит какоето время. Такое впечатление что пакеты то от меня (вин-машина ) через vpn уходят, а вот куда вернутся не знают ж( Чувствую что что-то с роутингом или iptables, а вот что? вот мой скрипт для для iptables ########################################################################### # # 1. Configuration options. # # # 1.1 Internet Configuration. # INET_IP="192.168.1.2" INET_IFACE="eth0" INET_BROADCAST="192.168.0.255" # # 1.2 Local Area Network configuration. # # your LAN's IP range and localhost IP. /24 means to only use the first 24 # bits of the 32 bit IP address. the same as netmask 255.255.255.0 # LAN_IP="192.168.0.1" LAN_IP_RANGE="192.168.0.0/16" LAN_IFACE="eth1" # # 1.4 Localhost Configuration. # LO_IFACE="lo" LO_IP="127.0.0.1" # # 1.5 IPTables Configuration. # IPTABLES="/sbin/iptables" # # 1.7 Air Network Configuaration # WIFI_IP="192.168.2.1" WIFI_IP_RANGE="192.168.2.0/16" WIFI_IFACE="ath0" # # 1.8 VPN Network Configuration # VPN_IP="10.0.0.1" VPN_IP_RANGE="10.0.0.0/24" VPN_IFACE="ppp0" ########################################################################### # # 2. Module loading. # # # Needed to initially load modules # /sbin/depmod -a # # 2.1 Required modules # /sbin/modprobe ip_tables /sbin/modprobe ip_conntrack /sbin/modprobe iptable_filter /sbin/modprobe iptable_mangle /sbin/modprobe iptable_nat /sbin/modprobe ipt_LOG /sbin/modprobe ipt_limit /sbin/modprobe ipt_state /sbin/modprobe ipt_owner #/sbin/modprobe ip_nat_pptp # # 2.2 Non-Required modules # #/sbin/modprobe ipt_REJECT #/sbin/modprobe ipt_MASQUERADE #/sbin/modprobe ip_conntrack_ftp #/sbin/modprobe ip_conntrack_irc #/sbin/modprobe ip_nat_ftp #/sbin/modprobe ip_nat_irc ########################################################################### # # 3. /proc set up. # # # 3.1 Required proc configuration # echo "1" > /proc/sys/net/ipv4/ip_forward # # 3.2 Non-Required proc configuration # #echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter #echo "1" > /proc/sys/net/ipv4/conf/all/proxy_arp #echo "1" > /proc/sys/net/ipv4/ip_dynaddr ########################################################################### # # 4. rules set up. # ###### # 4.1 Filter table # # # 4.1.1 Set policies # $IPTABLES -P INPUT DROP $IPTABLES -P OUTPUT DROP $IPTABLES -P FORWARD DROP # # 4.1.2 Create userspecified chains # # # Create chain for bad tcp packets # $IPTABLES -N bad_tcp_packets # # Create separate chains for ICMP, TCP and UDP to traverse # $IPTABLES -N allowed $IPTABLES -N tcp_packets $IPTABLES -N udp_packets $IPTABLES -N icmp_packets # #Create chain for out tcp packets $IPTABLES -N out_tcp_packets #Сэнди $IPTABLES -A out_tcp_packets -p tcp -d 193.125.70.0/23 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A out_tcp_packets -p tcp -d 194.190.176.0/20 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A out_tcp_packets -p tcp -d 195.122.224.0/19 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A out_tcp_packets -p tcp -d 217.18.52.0/23 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A out_tcp_packets -p tcp -d 91.194.192.0/23 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT #Агенство деловой связи $IPTABLES -A out_tcp_packets -p tcp -d 195.98.32.0/19 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A out_tcp_packets -p tcp -d 212.92.128.0/18 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A out_tcp_packets -p tcp -d 217.118.93.0/24 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A out_tcp_packets -p tcp -d 89.189.0.0/19 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A out_tcp_packets -p tcp -d 92.242.64.0/19 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT #НижегородТелесервис $IPTABLES -A out_tcp_packets -p tcp -d 78.40.184.0/21 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A out_tcp_packets -p tcp -d 217.23.16.0/20 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT #ННГУ $IPTABLES -A out_tcp_packets -p tcp -d 85.143.0.0/20 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A out_tcp_packets -p tcp -d 89.28.199.0/24 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT #ЗАО НИС $IPTABLES -A out_tcp_packets -p tcp -d 212.67.0.0/19 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A out_tcp_packets -p tcp -d 92.246.128.0/19 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT #ООО ПСС $IPTABLES -A out_tcp_packets -p tcp -d 217.25.80.0/22 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A out_tcp_packets -p tcp -d 85.91.192.0/21 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT #Волгателеком $IPTABLES -A out_tcp_packets -p tcp -d 213.177.96.6/32 -m owner --uid-owner $TORRENT_EXT_PID -j DROP $IPTABLES -A out_tcp_packets -p tcp -d 213.177.96.8/32 -m owner --uid-owner $TORRENT_EXT_PID -j DROP $IPTABLES -A out_tcp_packets -p tcp -d 213.177.96.9/32 -m owner --uid-owner $TORRENT_EXT_PID -j DROP $IPTABLES -A out_tcp_packets -p tcp -d 213.177.96.221/32 -m owner --uid-owner $TORRENT_EXT_PID -j DROP $IPTABLES -A out_tcp_packets -p tcp -d 213.177.97.26/32 -m owner --uid-owner $TORRENT_EXT_PID -j DROP $IPTABLES -A out_tcp_packets -p tcp -d 79.126.0.0/17 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A out_tcp_packets -p tcp -d 82.208.64.0/18 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A out_tcp_packets -p tcp -d 89.109.0.0/18 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A out_tcp_packets -p tcp -d 93.120.128.0/17 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A out_tcp_packets -p tcp -d 213.177.96.0/19 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT # # 4.1.3 Create content in userspecified chains # # # bad_tcp_packets chain # $IPTABLES -A bad_tcp_packets -p tcp --tcp-flags SYN,ACK SYN,ACK \ -m state --state NEW -j REJECT --reject-with tcp-reset $IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j LOG \ --log-prefix "New not syn:" $IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j DROP # # allowed chain # $IPTABLES -A allowed -p TCP --syn -j ACCEPT $IPTABLES -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT $IPTABLES -A allowed -p TCP -j DROP # # TCP rules # $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 21 -j allowed $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 20 -j allowed $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 22 -j allowed $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 80 -j allowed $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 113 -j allowed $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 40890 -j allowed $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 40891 -j allowed $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 2710 -j allowed $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 1723 -j allowed # # UDP ports # #$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 53 -j ACCEPT #$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 123 -j ACCEPT $IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 2074 -j ACCEPT $IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 4000 -j ACCEPT # # In Microsoft Networks you will be swamped by broadcasts. These lines # will prevent them from showing up in the logs. # $IPTABLES -A udp_packets -p UDP -i $INET_IFACE -d $INET_BROADCAST \ --destination-port 135:139 -j DROP # # If we get DHCP requests from the Outside of our network, our logs will # be swamped as well. This rule will block them from getting logged. # #$IPTABLES -A udp_packets -p UDP -i $INET_IFACE -d 255.255.255.255 \ #--destination-port 67:68 -j DROP # # ICMP rules # $IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT $IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT # # 4.1.4 INPUT chain # # # Bad TCP packets we don't want. # $IPTABLES -A INPUT -p tcp -j bad_tcp_packets # # Rules for special networks not part of the Internet # $IPTABLES -A INPUT -p ALL -i $LAN_IFACE -s $LAN_IP_RANGE -j ACCEPT $IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LO_IP -j ACCEPT $IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LAN_IP -j ACCEPT $IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $INET_IP -j ACCEPT $IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $WIFI_IP -j ACCEPT $IPTABLES -A INPUT -p ALL -i $WIFI_IFACE -s $INET_IP -j ACCEPT $IPTABLES -A INPUT -p ALL -i $WIFI_IFACE -s $WIFI_IP_RANGE -j ACCEPT $IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $VPN_IP_RANGE -j ACCEPT $IPTABLES -A INPUT -p ALL -i $WIFI_IFACE -s $VPN_IP_RANGE -j ACCEPT $IPTABLES -A INPUT -p ALL -i $VPN_IFACE -s $INET_IP -j ACCEPT $IPTABLES -A INPUT -p ALL -i $VPN_IFACE -s $VPN_IP_RANGE -j ACCEPT $IPTABLES -A INPUT -p ALL -i $VPN_IFACE -s $LAN_IP -j ACCEPT # # Special rule for DHCP requests from LAN, which are not caught properly # otherwise. # $IPTABLES -A INPUT -p UDP -i $LAN_IFACE --dport 67 --sport 68 -j ACCEPT $IPTABLES -A INPUT -p UDP -i $WIFI_IFACE --dport 67 --sport 68 -j ACCEPT # # Rules for incoming packets from the internet. # $IPTABLES -A INPUT -p ALL -d $INET_IP -m state --state ESTABLISHED,RELATED \ -j ACCEPT $IPTABLES -A INPUT -p TCP -i $INET_IFACE -j tcp_packets $IPTABLES -A INPUT -p UDP -i $INET_IFACE -j udp_packets $IPTABLES -A INPUT -p ICMP -i $INET_IFACE -j icmp_packets $IPTABLES -A INPUT -p 47 -i $INET_IFACE -j ACCEPT # # If you have a Microsoft Network on the outside of your firewall, you may # also get flooded by Multicasts. We drop them so we do not get flooded by # logs # #$IPTABLES -A INPUT -i $INET_IFACE -d 224.0.0.0/8 -j DROP # # Log weird packets that don't match the above. # $IPTABLES -A INPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \ --log-level DEBUG --log-prefix "IPT INPUT packet died: " # # 4.1.5 FORWARD chain # # # Bad TCP packets we don't want # $IPTABLES -A FORWARD -p tcp -j bad_tcp_packets # # Accept the packets we actually want to forward # $IPTABLES -A FORWARD -i $LAN_IFACE -j ACCEPT $IPTABLES -A FORWARD -i $WIFI_IFACE -j ACCEPT $IPTABLES -A FORWARD -i $VPN_IFACE -j ACCEPT $IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT # # Log weird packets that don't match the above. # $IPTABLES -A FORWARD -m limit --limit 3/minute --limit-burst 3 -j LOG \ --log-level DEBUG --log-prefix "IPT FORWARD packet died: " # # 4.1.6 OUTPUT chain # # # Bad TCP packets we don't want. # $IPTABLES -A OUTPUT -p tcp -j bad_tcp_packets # # Special OUTPUT rules to decide which IP's to allow. # $IPTABLES -A OUTPUT -p ALL -s $LO_IP -j ACCEPT $IPTABLES -A OUTPUT -p ALL -s $LAN_IP -j ACCEPT $IPTABLES -A OUTPUT -p ALL -s $WIFI_IP -j ACCEPT $IPTABLES -A OUTPUT -p ALL -s $VPN_IP_RANGE -j ACCEPT $IPTABLES -A OUTPUT -p TCP -s $INET_IP -j out_tcp_packets $IPTABLES -A OUTPUT -p TCP -s $INET_IP --dport 80 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A OUTPUT -p TCP -s $INET_IP --dport 53 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A OUTPUT -p UDP -s $INET_IP --dport 53 -m owner --uid-owner $TORRENT_EXT_PID -j ACCEPT $IPTABLES -A OUTPUT -p ALL -s $INET_IP -m owner --uid-owner $TORRENT_EXT_PID -j DROP $IPTABLES -A OUTPUT -p ALL -s $INET_IP -j ACCEPT # # Log weird packets that don't match the above. # $IPTABLES -A OUTPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \ --log-level DEBUG --log-prefix "IPT OUTPUT packet died: " ###### # 4.2 nat table # # # 4.2.1 Set policies # # # 4.2.2 Create user specified chains # # # 4.2.3 Create content in user specified chains # # # 4.2.4 PREROUTING chain # # # 4.2.5 POSTROUTING chain # # # Enable simple IP Forwarding and Network Address Translation # $IPTABLES -t nat -A POSTROUTING -o $INET_IFACE -j SNAT --to-source $INET_IP # # 4.2.6 OUTPUT chain # ###### # 4.3 mangle table # # # 4.3.1 Set policies # # # 4.3.2 Create user specified chains # # # 4.3.3 Create content in user specified chains # # # 4.3.4 PREROUTING chain # # # 4.3.5 INPUT chain # # # 4.3.6 FORWARD chain # # # 4.3.7 OUTPUT chain # # # 4.3.8 POSTROUTING chain # Чего не хватает? Может что лишнее? Буду очень благодарен за помошь, так как у самого голова уже пухнет ж(
Высказать мнение \| Ответить \| Правка \| Cообщить модератору

Оглавление

нужна помошь в установке VPN сервера на Fedora6, PavelR, 18:09 , 12-Мрт-09, (1)

нужна помошь в установке VPN сервера на Fedora6, Владимир, 18:40 , 12-Мрт-09, (2)

нужна помошь в установке VPN сервера на Fedora6, PavelR, 18:45 , 12-Мрт-09, (3)

нужна помошь в установке VPN сервера на Fedora6, Владимир, 18:48 , 12-Мрт-09, (4)
нужна помошь в установке VPN сервера на Fedora6, Владимир, 18:54 , 12-Мрт-09, (5)

нужна помошь в установке VPN сервера на Fedora6, PavelR, 18:59 , 12-Мрт-09, (6)

нужна помошь в установке VPN сервера на Fedora6, Владимир, 19:03 , 12-Мрт-09, (7)

нужна помошь в установке VPN сервера на Fedora6, Владимир, 19:24 , 12-Мрт-09, (8)

нужна помошь в установке VPN сервера на Fedora6, suslic, 19:49 , 12-Мрт-09, (9)

нужна помошь в установке VPN сервера на Fedora6, Владимир, 19:52 , 12-Мрт-09, (10)
нужна помошь в установке VPN сервера на Fedora6, Владимир, 19:53 , 12-Мрт-09, (11)
нужна помошь в установке VPN сервера на Fedora6, Владимир, 19:57 , 12-Мрт-09, (12)

нужна помошь в установке VPN сервера на Fedora6, PavelR, 20:10 , 12-Мрт-09, (13)

нужна помошь в установке VPN сервера на Fedora6, Владимир, 21:36 , 12-Мрт-09, (14)
нужна помошь в установке VPN сервера на Fedora6, Владимир, 13:02 , 16-Мрт-09, (15)
нужна помошь в установке VPN сервера на Fedora6, Владимир, 13:19 , 16-Мрт-09, (16)
нужна помошь в установке VPN сервера на Fedora6, Владимир, 15:39 , 16-Мрт-09, (17)

нужна помошь в установке VPN сервера на Fedora6, PavelR, 16:53 , 16-Мрт-09, (18)

нужна помошь в установке VPN сервера на Fedora6, Владимир, 17:44 , 16-Мрт-09, (19)

Сообщения по теме [Сортировка по времени | RSS]

1. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от PavelR (??) on 12-Мрт-09, 18:09

1. у вас открыт ICMP, но закрыты TCP/UDP
2. Более вероятно, что вам в поиск на тему MTU/MSS/tcpmssfix (тогда у вас работает UDP, что можно проверить например используя nslookup)

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от Владимир (??) on 12-Мрт-09, 18:40

>
>
>1. у вас открыт ICMP, но закрыты TCP/UDP
>2. Более вероятно, что вам в поиск на тему MTU/MSS/tcpmssfix (тогда у
>вас работает UDP, что можно проверить например используя nslookup)
1.можно поподробнее? На моем сервере или на рабочем сервере? Если на моем то
насколько я понимаю все входящие пакеты с интерфейса $INET_IFACE загоняются в цепочки:
$IPTABLES -A INPUT -p TCP -i $INET_IFACE -j tcp_packets
$IPTABLES -A INPUT -p UDP -i $INET_IFACE -j udp_packets
$IPTABLES -A INPUT -p ICMP -i $INET_IFACE -j icmp_packets
тоесть обрабатываются и TCP и UDP пакеты.
Кроме этого разве я не разрешил все входящие с $VPN_IFACE этими строчками?
$IPTABLES -A INPUT -p ALL -i $VPN_IFACE -s $INET_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $VPN_IFACE -s $VPN_IP_RANGE -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $VPN_IFACE -s $LAN_IP -j ACCEPT
И в сеть и на самого себя и в лан.Причем по всем протоколам.
А следующим правилом разрешил все исходящие с этого интерфейса
$IPTABLES -A OUTPUT -p ALL -s $VPN_IP_RANGE -j ACCEPT
Или я что-то в корне не понимаю? Обьясните пожалуйста.
2. а тут вобще для меня темный лес ж) Обьясните?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от PavelR (??) on 12-Мрт-09, 18:45

>[оверквотинг удален]
>>1. у вас открыт ICMP, но закрыты TCP/UDP
>>2. Более вероятно, что вам в поиск на тему MTU/MSS/tcpmssfix (тогда у
>>вас работает UDP, что можно проверить например используя nslookup)
>
>1.можно поподробнее? На моем сервере или на рабочем сервере? Если на моем
>то
>насколько я понимаю все входящие пакеты с интерфейса $INET_IFACE загоняются в цепочки:
> ...
>
>Или я что-то в корне не понимаю? Обьясните пожалуйста.
В корне не верно. на сайте есть масса документации по использованию/работе iptables.
INPUT/OUTPUT - это для пакетов, предназначенных для этой машины. Транзитные пакеты - FORWARD.
>2. а тут вобще для меня темный лес ж) Обьясните?
гугл объяснит.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от Владимир (??) on 12-Мрт-09, 18:48

>
>В корне не верно. на сайте есть масса документации по использованию/работе iptables.
>
>
>INPUT/OUTPUT - это для пакетов, предназначенных для этой машины. Транзитные пакеты -
>FORWARD.
Насчет этого спасибо за наводку сейчас поизучаю.
>>2. а тут вобще для меня темный лес ж) Обьясните?
>
>гугл объяснит.
ж) Спасибо и на этом.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

5. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от Владимир (??) on 12-Мрт-09, 18:54

>INPUT/OUTPUT - это для пакетов, предназначенных для этой машины. Транзитные пакеты -
>FORWARD.
Так но ведь прописано правило
$IPTABLES -A FORWARD -i $VPN_IFACE -j ACCEPT
протокол не указан разве это не значит что для любого протокола?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

6. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от PavelR (??) on 12-Мрт-09, 18:59

>
>>INPUT/OUTPUT - это для пакетов, предназначенных для этой машины. Транзитные пакеты -
>>FORWARD.
>
>Так но ведь прописано правило
>$IPTABLES -A FORWARD -i $VPN_IFACE -j ACCEPT
>протокол не указан разве это не значит что для любого протокола?
я не вникал в ваши правила. Человек, который написал _столько_ правил - должен знать что делает каждое из них, либо... он ССЗБ что применяет правила, не зная что они делают.
поэтому просто перечислил две потенциальных проблемы.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

7. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от Владимир (??) on 12-Мрт-09, 19:03

>я не вникал в ваши правила. Человек, который написал _столько_ правил -
>должен знать что делает каждое из них, либо... он ССЗБ что
>применяет правила, не зная что они делают.
>
>поэтому просто перечислил две потенциальных проблемы.
Понятно. Правила я действительно не сильно понимаю и взяты они примеров +модифицированы под мои нужды в меру моего осознания iptables, потому и прошу помощи у сведующих людей

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

8. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от Владимир (??) on 12-Мрт-09, 19:24

может быть это поможет прояснить картину
tcpdump -i ppp0 port 80 при попытке открыть в браузере www.ya.ru выдает следующее:
19:13:30.261955 IP 10.0.0.2.52080 > yandex.ru.http: . ack 1 win 16573 <nop,nop,sack 1 {1361:6389}>
19:13:40.293850 IP yandex.ru.http > 10.0.0.2.52080: . ack 1 win 37
19:13:40.317477 IP 10.0.0.2.52080 > yandex.ru.http: . ack 1 win 16573 <nop,nop,sack 1 {1361:6389}>
19:13:44.779278 IP yandex.ru.http > 10.0.0.2.52080: . 1:1361(1360) ack 1 win 37
19:13:50.339883 IP yandex.ru.http > 10.0.0.2.52080: . ack 1 win 37
19:13:50.364303 IP 10.0.0.2.52080 > yandex.ru.http: . ack 1 win 16573 <nop,nop,sack 1 {1361:6389}>
19:14:00.386344 IP yandex.ru.http > 10.0.0.2.52080: . ack 1 win 37
19:14:00.410817 IP 10.0.0.2.52080 > yandex.ru.http: . ack 1 win 16573 <nop,nop,sack 1 {1361:6389}>
19:14:10.438840 IP yandex.ru.http > 10.0.0.2.52080: . ack 1 win 37
19:14:10.468994 IP 10.0.0.2.52080 > yandex.ru.http: . ack 1 win 16573 <nop,nop,sack 1 {1361:6389}>
19:14:10.494001 IP yandex.ru.http > 10.0.0.2.52080: . 1:1361(1360) ack 1 win 37
19:14:20.492913 IP yandex.ru.http > 10.0.0.2.52080: . ack 1 win 37
19:14:20.516040 IP 10.0.0.2.52080 > yandex.ru.http: . ack 1 win 16573 <nop,nop,sack 1 {1361:6389}>
19:14:30.538041 IP yandex.ru.http > 10.0.0.2.52080: . ack 1 win 37
19:14:30.562395 IP 10.0.0.2.52080 > yandex.ru.http: . ack 1 win 16573 <nop,nop,sack 1 {1361:6389}>
и т.д.
В чем может быть проблема?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

9. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от suslic (??) on 12-Мрт-09, 19:49

увидав скрипт - паника )
#$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 53 -j ACCEPT
разрешыте запросы на ДНС
П.С.
сотрите все кроме
iptables -t nat -A POSTROUTING -o $inet_if -j SNAT --to-source $inet_ip

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

10. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от Владимир (??) on 12-Мрт-09, 19:52

>увидав скрипт - паника )
>#$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 53 -j ACCEPT
>разрешыте запросы на ДНС
>
Я конечно нуб в этом деле но не до такой степени. На # внимания не обратили?
>П.С.
>сотрите все кроме
>iptables -t nat -A POSTROUTING -o $inet_if -j SNAT --to-source $inet_ip
Конструктивно. Но даже так не работает. Еще идеи такого же характера будут?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

11. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от Владимир (??) on 12-Мрт-09, 19:53

>увидав скрипт - паника )
>#$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 53 -j ACCEPT
>разрешыте запросы на ДНС
>
Пардон, предыдущий пост вспылил. Не вчитался так сказать и вспылил. извиняюсь

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

12. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от Владимир (??) on 12-Мрт-09, 19:57

>увидав скрипт - паника )
>#$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 53 -j ACCEPT
>разрешыте запросы на ДНС
Запросы разрешил. Проблема осталась ж( Не в этом видать дело...
>П.С.
>сотрите все кроме
>iptables -t nat -A POSTROUTING -o $inet_if -j SNAT --to-source $inet_ip
Стирать нельзя. Там все нужное ж)

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

13. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от PavelR (??) on 12-Мрт-09, 20:10

т.е. в пункт 2, приведенный мной
а) Вы не верите
б) Не хотите погуглить ?
----
попробуйте научиться снимать сессии tcpdump-ом
- без вашего "и т.д"
- с начала, с первого пакета установления соединения.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

14. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от Владимир (??) on 12-Мрт-09, 21:36

>
>т.е. в пункт 2, приведенный мной
>
> а) Вы не верите
> б) Не хотите погуглить ?
Конечно же нет. Гуглю пытаюсь понять что это , хотя пока без результатно ж(
>
>
>
>----
>
>попробуйте научиться снимать сессии tcpdump-ом
> - без вашего "и т.д"
> - с начала, с первого пакета установления соединения.
Хорошо, попробую с первого пакета. а и т.д я написал так как там строки повторяются безконечно.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

15. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от Владимир (??) on 16-Мрт-09, 13:02

>[оверквотинг удален]
> а) Вы не верите
> б) Не хотите погуглить ?
>
>
>
>----
>
>попробуйте научиться снимать сессии tcpdump-ом
> - без вашего "и т.д"
> - с начала, с первого пакета установления соединения.
Сделал снимок сессии при попытке открыть сайт www.ya.ru с машины подключенной по VPN к серверу с первого пакета. ВОт что получилось:
12:49:10.588342 IP 192.168.1.2.50094 > yandex.ru.http: S 2903426339:2903426339(0) win 8192 <mss 1360,nop,wscale 2,nop,nop,sackOK>
12:49:10.604892 IP yandex.ru.http > 192.168.1.2.50094: S 1385040713:1385040713(0) ack 2903426340 win 8192 <mss 1360,nop,wscale 8,sackOK,eol>
12:49:10.630040 IP 192.168.1.2.50094 > yandex.ru.http: . ack 1 win 16660
12:49:10.657580 IP 192.168.1.2.50094 > yandex.ru.http: P 1:776(775) ack 1 win 16660
12:49:10.684735 IP yandex.ru.http > 192.168.1.2.50094: P 1:347(346) ack 776 win 37
12:49:10.911973 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573
12:49:11.093871 IP yandex.ru.http > 192.168.1.2.50094: . 347:1707(1360) ack 776 win 37
12:49:11.094496 IP yandex.ru.http > 192.168.1.2.50094: P 1707:2395(688) ack 776 win 37
12:49:11.096900 IP yandex.ru.http > 192.168.1.2.50094: . 2395:3755(1360) ack 776 win 37
12:49:11.097429 IP yandex.ru.http > 192.168.1.2.50094: P 3755:4377(622) ack 776 win 37
12:49:11.141823 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 1 {1707:2395}>
12:49:11.166700 IP yandex.ru.http > 192.168.1.2.50094: . 4377:5737(1360) ack 776 win 37
12:49:11.168246 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {3755:4377}{1707:2395}>
12:49:11.200204 IP yandex.ru.http > 192.168.1.2.50094: . 5737:7097(1360) ack 776 win 37
12:49:11.882116 IP yandex.ru.http > 192.168.1.2.50094: . 347:1707(1360) ack 776 win 37
12:49:13.418359 IP yandex.ru.http > 192.168.1.2.50094: . 347:1707(1360) ack 776 win 37
12:49:16.393849 IP yandex.ru.http > 192.168.1.2.50094: . 347:1707(1360) ack 776 win 37
12:49:21.196283 IP yandex.ru.http > 192.168.1.2.50094: . ack 776 win 37
12:49:21.221254 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {3755:4377}{1707:2395}>
12:49:21.237884 IP yandex.ru.http > 192.168.1.2.50094: . 2395:3067(672) ack 776 win 37
12:49:21.269346 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {1707:3067}{3755:4377}>
12:49:21.287167 IP yandex.ru.http > 192.168.1.2.50094: . 3067:4427(1360) ack 776 win 37
12:49:21.289033 IP yandex.ru.http > 192.168.1.2.50094: . 4427:5787(1360) ack 776 win 37
12:49:22.285285 IP yandex.ru.http > 192.168.1.2.50094: . 347:1707(1360) ack 776 win 37
12:49:31.283723 IP yandex.ru.http > 192.168.1.2.50094: . ack 776 win 37
12:49:31.308491 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {1707:3067}{3755:4377}>
12:49:34.008384 IP yandex.ru.http > 192.168.1.2.50094: . 347:1707(1360) ack 776 win 37
12:49:41.322630 IP yandex.ru.http > 192.168.1.2.50094: . ack 776 win 37
12:49:41.347286 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {1707:3067}{3755:4377}>
12:49:51.361862 IP yandex.ru.http > 192.168.1.2.50094: . ack 776 win 37
12:49:51.388701 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {1707:3067}{3755:4377}>
12:49:51.406172 IP yandex.ru.http > 192.168.1.2.50094: . 3067:4427(1360) ack 776 win 37
12:49:51.408129 IP yandex.ru.http > 192.168.1.2.50094: . 4427:5787(1360) ack 776 win 37
12:49:51.538450 IP yandex.ru.http > 192.168.1.2.50094: . 347:1707(1360) ack 776 win 37
12:50:01.402776 IP yandex.ru.http > 192.168.1.2.50094: . ack 776 win 37
12:50:01.425467 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {1707:3067}{3755:4377}>
12:50:11.440960 IP yandex.ru.http > 192.168.1.2.50094: . ack 776 win 37
12:50:11.464537 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {1707:3067}{3755:4377}>
12:50:11.481734 IP yandex.ru.http > 192.168.1.2.50094: . 3067:4427(1360) ack 776 win 37
12:50:11.483394 IP yandex.ru.http > 192.168.1.2.50094: . 4427:5787(1360) ack 776 win 37
12:50:21.478765 IP yandex.ru.http > 192.168.1.2.50094: . ack 776 win 37
12:50:21.501825 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {1707:3067}{3755:4377}>
12:50:21.519556 IP yandex.ru.http > 192.168.1.2.50094: . 347:1707(1360) ack 776 win 37

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

16. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от Владимир (??) on 16-Мрт-09, 13:19

>
>т.е. в пункт 2, приведенный мной
>
> а) Вы не верите
> б) Не хотите погуглить ?
Погуглил, MTU в option.pptpd поставил в 1500 (насколько я понял такое значение MTU по умолчанию в локалке)
прочитал что tcpmssfix это какой то патч (кстати встречается упоминание о нем все большев связке с mpd) Но вот что за патч, где его скачать и как поставить , что-то не нашол ж( Поможете? Или может я опять не в том русле?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

17. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от Владимир (??) on 16-Мрт-09, 15:39

Вот что нагуглил
https://www.opennet.ru/base/net/pppoe_mtu.txt.html
Из этой статьи понял что мне нехватает этой строчки для выравнивания размеров пакета.
iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
однако эта строчка не помогла ж(

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

18. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от PavelR (??) on 16-Мрт-09, 16:53

>Вот что нагуглил
>https://www.opennet.ru/base/net/pppoe_mtu.txt.html
>Из этой статьи понял что мне нехватает этой строчки для выравнивания размеров
>пакета.
>iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
>однако эта строчка не помогла ж(
>Погуглил, MTU в option.pptpd поставил в 1500
1400.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

19. "нужна помошь в установке VPN сервера на Fedora6"

Сообщение от Владимир (??) on 16-Мрт-09, 17:44

>>Вот что нагуглил
>>https://www.opennet.ru/base/net/pppoe_mtu.txt.html
>>Из этой статьи понял что мне нехватает этой строчки для выравнивания размеров
>>пакета.
>>iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
>>однако эта строчка не помогла ж(
>>Погуглил, MTU в option.pptpd поставил в 1500
>
>1400.
Да я уже посмотрел.
Поставил 1400 так же как и ifconfig выдает. ничего не изменилось ж(
куда еще смотреть?
Кстати браузер не работает. а вот приложения другие(например Counter Strike) работает. Правда наблюдаются периодические повисания, как будто пакеты не доходят, или не все доходят. Тоесть vpn то в принципе работает. Порты открыты (теже 27030 и т.д) А браузер работать нге хочет

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема

Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "нужна помошь в установке VPN сервера на Fedora6"
Сообщение от PavelR (??) on 12-Мрт-09, 18:09
1. у вас открыт ICMP, но закрыты TCP/UDP 2. Более вероятно, что вам в поиск на тему MTU/MSS/tcpmssfix (тогда у вас работает UDP, что можно проверить например используя nslookup)
Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	2. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от Владимир (??) on 12-Мрт-09, 18:40
	> > >1. у вас открыт ICMP, но закрыты TCP/UDP >2. Более вероятно, что вам в поиск на тему MTU/MSS/tcpmssfix (тогда у >вас работает UDP, что можно проверить например используя nslookup) 1.можно поподробнее? На моем сервере или на рабочем сервере? Если на моем то насколько я понимаю все входящие пакеты с интерфейса $INET_IFACE загоняются в цепочки: $IPTABLES -A INPUT -p TCP -i $INET_IFACE -j tcp_packets $IPTABLES -A INPUT -p UDP -i $INET_IFACE -j udp_packets $IPTABLES -A INPUT -p ICMP -i $INET_IFACE -j icmp_packets тоесть обрабатываются и TCP и UDP пакеты. Кроме этого разве я не разрешил все входящие с $VPN_IFACE этими строчками? $IPTABLES -A INPUT -p ALL -i $VPN_IFACE -s $INET_IP -j ACCEPT $IPTABLES -A INPUT -p ALL -i $VPN_IFACE -s $VPN_IP_RANGE -j ACCEPT $IPTABLES -A INPUT -p ALL -i $VPN_IFACE -s $LAN_IP -j ACCEPT И в сеть и на самого себя и в лан.Причем по всем протоколам. А следующим правилом разрешил все исходящие с этого интерфейса $IPTABLES -A OUTPUT -p ALL -s $VPN_IP_RANGE -j ACCEPT Или я что-то в корне не понимаю? Обьясните пожалуйста. 2. а тут вобще для меня темный лес ж) Обьясните?
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	3. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от PavelR (??) on 12-Мрт-09, 18:45
	>[оверквотинг удален] >>1. у вас открыт ICMP, но закрыты TCP/UDP >>2. Более вероятно, что вам в поиск на тему MTU/MSS/tcpmssfix (тогда у >>вас работает UDP, что можно проверить например используя nslookup) > >1.можно поподробнее? На моем сервере или на рабочем сервере? Если на моем >то >насколько я понимаю все входящие пакеты с интерфейса $INET_IFACE загоняются в цепочки: > ... > >Или я что-то в корне не понимаю? Обьясните пожалуйста. В корне не верно. на сайте есть масса документации по использованию/работе iptables. INPUT/OUTPUT - это для пакетов, предназначенных для этой машины. Транзитные пакеты - FORWARD. >2. а тут вобще для меня темный лес ж) Обьясните? гугл объяснит.
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	4. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от Владимир (??) on 12-Мрт-09, 18:48
	> >В корне не верно. на сайте есть масса документации по использованию/работе iptables. > > >INPUT/OUTPUT - это для пакетов, предназначенных для этой машины. Транзитные пакеты - >FORWARD. Насчет этого спасибо за наводку сейчас поизучаю. >>2. а тут вобще для меня темный лес ж) Обьясните? > >гугл объяснит. ж) Спасибо и на этом.
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	5. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от Владимир (??) on 12-Мрт-09, 18:54
	>INPUT/OUTPUT - это для пакетов, предназначенных для этой машины. Транзитные пакеты - >FORWARD. Так но ведь прописано правило $IPTABLES -A FORWARD -i $VPN_IFACE -j ACCEPT протокол не указан разве это не значит что для любого протокола?
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	6. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от PavelR (??) on 12-Мрт-09, 18:59
	> >>INPUT/OUTPUT - это для пакетов, предназначенных для этой машины. Транзитные пакеты - >>FORWARD. > >Так но ведь прописано правило >$IPTABLES -A FORWARD -i $VPN_IFACE -j ACCEPT >протокол не указан разве это не значит что для любого протокола? я не вникал в ваши правила. Человек, который написал _столько_ правил - должен знать что делает каждое из них, либо... он ССЗБ что применяет правила, не зная что они делают. поэтому просто перечислил две потенциальных проблемы.
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	7. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от Владимир (??) on 12-Мрт-09, 19:03
	>я не вникал в ваши правила. Человек, который написал _столько_ правил - >должен знать что делает каждое из них, либо... он ССЗБ что >применяет правила, не зная что они делают. > >поэтому просто перечислил две потенциальных проблемы. Понятно. Правила я действительно не сильно понимаю и взяты они примеров +модифицированы под мои нужды в меру моего осознания iptables, потому и прошу помощи у сведующих людей
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору

8. "нужна помошь в установке VPN сервера на Fedora6"
Сообщение от Владимир (??) on 12-Мрт-09, 19:24
может быть это поможет прояснить картину tcpdump -i ppp0 port 80 при попытке открыть в браузере www.ya.ru выдает следующее: 19:13:30.261955 IP 10.0.0.2.52080 > yandex.ru.http: . ack 1 win 16573 <nop,nop,sack 1 {1361:6389}> 19:13:40.293850 IP yandex.ru.http > 10.0.0.2.52080: . ack 1 win 37 19:13:40.317477 IP 10.0.0.2.52080 > yandex.ru.http: . ack 1 win 16573 <nop,nop,sack 1 {1361:6389}> 19:13:44.779278 IP yandex.ru.http > 10.0.0.2.52080: . 1:1361(1360) ack 1 win 37 19:13:50.339883 IP yandex.ru.http > 10.0.0.2.52080: . ack 1 win 37 19:13:50.364303 IP 10.0.0.2.52080 > yandex.ru.http: . ack 1 win 16573 <nop,nop,sack 1 {1361:6389}> 19:14:00.386344 IP yandex.ru.http > 10.0.0.2.52080: . ack 1 win 37 19:14:00.410817 IP 10.0.0.2.52080 > yandex.ru.http: . ack 1 win 16573 <nop,nop,sack 1 {1361:6389}> 19:14:10.438840 IP yandex.ru.http > 10.0.0.2.52080: . ack 1 win 37 19:14:10.468994 IP 10.0.0.2.52080 > yandex.ru.http: . ack 1 win 16573 <nop,nop,sack 1 {1361:6389}> 19:14:10.494001 IP yandex.ru.http > 10.0.0.2.52080: . 1:1361(1360) ack 1 win 37 19:14:20.492913 IP yandex.ru.http > 10.0.0.2.52080: . ack 1 win 37 19:14:20.516040 IP 10.0.0.2.52080 > yandex.ru.http: . ack 1 win 16573 <nop,nop,sack 1 {1361:6389}> 19:14:30.538041 IP yandex.ru.http > 10.0.0.2.52080: . ack 1 win 37 19:14:30.562395 IP 10.0.0.2.52080 > yandex.ru.http: . ack 1 win 16573 <nop,nop,sack 1 {1361:6389}> и т.д. В чем может быть проблема?
Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	9. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от suslic (??) on 12-Мрт-09, 19:49
	увидав скрипт - паника ) #$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 53 -j ACCEPT разрешыте запросы на ДНС П.С. сотрите все кроме iptables -t nat -A POSTROUTING -o $inet_if -j SNAT --to-source $inet_ip
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	10. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от Владимир (??) on 12-Мрт-09, 19:52
	>увидав скрипт - паника ) >#$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 53 -j ACCEPT >разрешыте запросы на ДНС > Я конечно нуб в этом деле но не до такой степени. На # внимания не обратили? >П.С. >сотрите все кроме >iptables -t nat -A POSTROUTING -o $inet_if -j SNAT --to-source $inet_ip Конструктивно. Но даже так не работает. Еще идеи такого же характера будут?
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	11. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от Владимир (??) on 12-Мрт-09, 19:53
	>увидав скрипт - паника ) >#$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 53 -j ACCEPT >разрешыте запросы на ДНС > Пардон, предыдущий пост вспылил. Не вчитался так сказать и вспылил. извиняюсь
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	12. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от Владимир (??) on 12-Мрт-09, 19:57
	>увидав скрипт - паника ) >#$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 53 -j ACCEPT >разрешыте запросы на ДНС Запросы разрешил. Проблема осталась ж( Не в этом видать дело... >П.С. >сотрите все кроме >iptables -t nat -A POSTROUTING -o $inet_if -j SNAT --to-source $inet_ip Стирать нельзя. Там все нужное ж)
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	13. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от PavelR (??) on 12-Мрт-09, 20:10
	т.е. в пункт 2, приведенный мной а) Вы не верите б) Не хотите погуглить ? ---- попробуйте научиться снимать сессии tcpdump-ом - без вашего "и т.д" - с начала, с первого пакета установления соединения.
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	14. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от Владимир (??) on 12-Мрт-09, 21:36
	> >т.е. в пункт 2, приведенный мной > > а) Вы не верите > б) Не хотите погуглить ? Конечно же нет. Гуглю пытаюсь понять что это , хотя пока без результатно ж( > > > >---- > >попробуйте научиться снимать сессии tcpdump-ом > - без вашего "и т.д" > - с начала, с первого пакета установления соединения. Хорошо, попробую с первого пакета. а и т.д я написал так как там строки повторяются безконечно.
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	15. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от Владимир (??) on 16-Мрт-09, 13:02
	>[оверквотинг удален] > а) Вы не верите > б) Не хотите погуглить ? > > > >---- > >попробуйте научиться снимать сессии tcpdump-ом > - без вашего "и т.д" > - с начала, с первого пакета установления соединения. Сделал снимок сессии при попытке открыть сайт www.ya.ru с машины подключенной по VPN к серверу с первого пакета. ВОт что получилось: 12:49:10.588342 IP 192.168.1.2.50094 > yandex.ru.http: S 2903426339:2903426339(0) win 8192 <mss 1360,nop,wscale 2,nop,nop,sackOK> 12:49:10.604892 IP yandex.ru.http > 192.168.1.2.50094: S 1385040713:1385040713(0) ack 2903426340 win 8192 <mss 1360,nop,wscale 8,sackOK,eol> 12:49:10.630040 IP 192.168.1.2.50094 > yandex.ru.http: . ack 1 win 16660 12:49:10.657580 IP 192.168.1.2.50094 > yandex.ru.http: P 1:776(775) ack 1 win 16660 12:49:10.684735 IP yandex.ru.http > 192.168.1.2.50094: P 1:347(346) ack 776 win 37 12:49:10.911973 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 12:49:11.093871 IP yandex.ru.http > 192.168.1.2.50094: . 347:1707(1360) ack 776 win 37 12:49:11.094496 IP yandex.ru.http > 192.168.1.2.50094: P 1707:2395(688) ack 776 win 37 12:49:11.096900 IP yandex.ru.http > 192.168.1.2.50094: . 2395:3755(1360) ack 776 win 37 12:49:11.097429 IP yandex.ru.http > 192.168.1.2.50094: P 3755:4377(622) ack 776 win 37 12:49:11.141823 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 1 {1707:2395}> 12:49:11.166700 IP yandex.ru.http > 192.168.1.2.50094: . 4377:5737(1360) ack 776 win 37 12:49:11.168246 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {3755:4377}{1707:2395}> 12:49:11.200204 IP yandex.ru.http > 192.168.1.2.50094: . 5737:7097(1360) ack 776 win 37 12:49:11.882116 IP yandex.ru.http > 192.168.1.2.50094: . 347:1707(1360) ack 776 win 37 12:49:13.418359 IP yandex.ru.http > 192.168.1.2.50094: . 347:1707(1360) ack 776 win 37 12:49:16.393849 IP yandex.ru.http > 192.168.1.2.50094: . 347:1707(1360) ack 776 win 37 12:49:21.196283 IP yandex.ru.http > 192.168.1.2.50094: . ack 776 win 37 12:49:21.221254 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {3755:4377}{1707:2395}> 12:49:21.237884 IP yandex.ru.http > 192.168.1.2.50094: . 2395:3067(672) ack 776 win 37 12:49:21.269346 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {1707:3067}{3755:4377}> 12:49:21.287167 IP yandex.ru.http > 192.168.1.2.50094: . 3067:4427(1360) ack 776 win 37 12:49:21.289033 IP yandex.ru.http > 192.168.1.2.50094: . 4427:5787(1360) ack 776 win 37 12:49:22.285285 IP yandex.ru.http > 192.168.1.2.50094: . 347:1707(1360) ack 776 win 37 12:49:31.283723 IP yandex.ru.http > 192.168.1.2.50094: . ack 776 win 37 12:49:31.308491 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {1707:3067}{3755:4377}> 12:49:34.008384 IP yandex.ru.http > 192.168.1.2.50094: . 347:1707(1360) ack 776 win 37 12:49:41.322630 IP yandex.ru.http > 192.168.1.2.50094: . ack 776 win 37 12:49:41.347286 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {1707:3067}{3755:4377}> 12:49:51.361862 IP yandex.ru.http > 192.168.1.2.50094: . ack 776 win 37 12:49:51.388701 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {1707:3067}{3755:4377}> 12:49:51.406172 IP yandex.ru.http > 192.168.1.2.50094: . 3067:4427(1360) ack 776 win 37 12:49:51.408129 IP yandex.ru.http > 192.168.1.2.50094: . 4427:5787(1360) ack 776 win 37 12:49:51.538450 IP yandex.ru.http > 192.168.1.2.50094: . 347:1707(1360) ack 776 win 37 12:50:01.402776 IP yandex.ru.http > 192.168.1.2.50094: . ack 776 win 37 12:50:01.425467 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {1707:3067}{3755:4377}> 12:50:11.440960 IP yandex.ru.http > 192.168.1.2.50094: . ack 776 win 37 12:50:11.464537 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {1707:3067}{3755:4377}> 12:50:11.481734 IP yandex.ru.http > 192.168.1.2.50094: . 3067:4427(1360) ack 776 win 37 12:50:11.483394 IP yandex.ru.http > 192.168.1.2.50094: . 4427:5787(1360) ack 776 win 37 12:50:21.478765 IP yandex.ru.http > 192.168.1.2.50094: . ack 776 win 37 12:50:21.501825 IP 192.168.1.2.50094 > yandex.ru.http: . ack 347 win 16573 <nop,nop,sack 2 {1707:3067}{3755:4377}> 12:50:21.519556 IP yandex.ru.http > 192.168.1.2.50094: . 347:1707(1360) ack 776 win 37
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	16. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от Владимир (??) on 16-Мрт-09, 13:19
	> >т.е. в пункт 2, приведенный мной > > а) Вы не верите > б) Не хотите погуглить ? Погуглил, MTU в option.pptpd поставил в 1500 (насколько я понял такое значение MTU по умолчанию в локалке) прочитал что tcpmssfix это какой то патч (кстати встречается упоминание о нем все большев связке с mpd) Но вот что за патч, где его скачать и как поставить , что-то не нашол ж( Поможете? Или может я опять не в том русле?
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	17. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от Владимир (??) on 16-Мрт-09, 15:39
	Вот что нагуглил https://www.opennet.ru/base/net/pppoe_mtu.txt.html Из этой статьи понял что мне нехватает этой строчки для выравнивания размеров пакета. iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu однако эта строчка не помогла ж(
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	18. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от PavelR (??) on 16-Мрт-09, 16:53
	>Вот что нагуглил >https://www.opennet.ru/base/net/pppoe_mtu.txt.html >Из этой статьи понял что мне нехватает этой строчки для выравнивания размеров >пакета. >iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu >однако эта строчка не помогла ж( >Погуглил, MTU в option.pptpd поставил в 1500 1400.
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	19. "нужна помошь в установке VPN сервера на Fedora6"
	Сообщение от Владимир (??) on 16-Мрт-09, 17:44
	>>Вот что нагуглил >>https://www.opennet.ru/base/net/pppoe_mtu.txt.html >>Из этой статьи понял что мне нехватает этой строчки для выравнивания размеров >>пакета. >>iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu >>однако эта строчка не помогла ж( >>Погуглил, MTU в option.pptpd поставил в 1500 > >1400. Да я уже посмотрел. Поставил 1400 так же как и ifconfig выдает. ничего не изменилось ж( куда еще смотреть? Кстати браузер не работает. а вот приложения другие(например Counter Strike) работает. Правда наблюдаются периодические повисания, как будто пакеты не доходят, или не все доходят. Тоесть vpn то в принципе работает. Порты открыты (теже 27030 и т.д) А браузер работать нге хочет
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору

Архив \| Удалить	Индекс форумов \| Темы \| Пред. тема \| След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 \| 2 \| 3 \| 4 \| 5 ] [Рекомендовать для помещения в FAQ]