форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Открытые системы на сервере (VPN)
Изначальное сообщение		[ Отслеживать ]

"Маршрутизация пакетов в VPN сети"	+/–
Сообщение от hatun (ok) on 26-Сен-12, 09:53
Приветствую сообщество Прошу помощи в проблеме. Необходимо внедрить VPN (pptp сервер) Исходные данные: Корп сеть 10.2.0.0 / 21 GW: 10.2.0.100 ================================== Выделенный сервер под управлением SLES 10 SP4 eth0 - внешний белый IP, подключенный напрямую к оборудованию провайдера default gw: ip шлюза провайдера eth1 - внутренний интерфейс -10.2.0.99 / 24 -подключен в коммутатор. ================================== ifconfig при подключенном клиенте vpn: eth0      Link encap:Ethernet  HWaddr 38:60:77:3E:D4:2F             inet addr:555.555.555.555  Bcast:555.555.555.556  Mask:255.255.255.248          eth1      Link encap:Ethernet  HWaddr 00:1B:21:C4:D5:C8             inet addr:10.2.0.99  Bcast:10.2.0.255  Mask:255.255.255.0           UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1 eth1:vpn  Link encap:Ethernet  HWaddr 00:1B:21:C4:D5:C8             inet addr:10.2.100.1  Bcast:10.2.100.255  Mask:255.255.255.0           UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1 lo        Link encap:Local Loopback             inet addr:127.0.0.1  Mask:255.0.0.0           UP LOOPBACK RUNNING  MTU:16436  Metric:1 ppp0      Link encap:Point-to-Point Protocol             inet addr:10.2.0.99  P-t-P:10.2.100.2  Mask:255.255.255.255           UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1396  Metric:1           RX packets:451 errors:0 dropped:0 overruns:0 frame:0           TX packets:255 errors:0 dropped:0 overruns:0 carrier:0           collisions:0 txqueuelen:3           RX bytes:29987 (29.2 Kb)  TX bytes:14918 (14.5 Kb) ================================== Установлен и сконфигурирован демон PPTPD Версия: 1.2.3-12.2 конфиг pptpd.conf:                                                                                        speed 115200                                                                                     connections 30                                                                                                                                                                             localip 10.2.0.99                                                                                                                                                                 remoteip 10.2.100.2-32                                                                                                                                                                 option /etc/ppp/options.pptpd                                                                                                                                                                                 debug                                                                                                                                                                                                     pidfile /var/run/pptpd.pid   ================================== # cat /etc/ppp/options.pptpd name pptpd auth refuse-pap refuse-chap refuse-mschap require-mschap-v2 require-mppe-128 lock mtu 1450 mru 1450 proxyarp lcp-echo-failure 10 lcp-echo-interval 10 ================================== # cat /etc/ppp/chap-secrets user99  pptpd   pass "*"                                                                                     user100  pptpd   pass1  "10.2.100.10" ================================== Таблица маршрутизации сервера pptp # route Kernel IP routing table Destination     Gateway         Genmask         Flags Metric Ref    Use Iface 10.2.100.2      *               255.255.255.255 UH    0      0        0 ppp0 blablabla    *               255.255.255.248 U     0      0        0 eth0 10.2.100.0      *               255.255.255.0   U     0      0        0 eth1 10.2.0.0        *               255.255.255.0   U     0      0        0 eth1 link-local      *               255.255.0.0     U     0      0        0 eth0 loopback        *               255.0.0.0       U     0      0        0 lo default         blablabla    0.0.0.0         UG    0      0        0 eth0 ================================== iptables отключен firewall SuSe отключен Форвард м/у интерфейсами разрешен # cat /proc/sys/net/ipv4/ip_forward 1 ================================== Клиент подключается штатно, получает IP адрес и из диапазона и принудительно Для примера возьмем IP адрес, который получил клиент 10.2.100.2 mask 255.255.255.255 ping от клиента идет: на 10.2.100.1 ping от клиента не идет: на 10.2.0.10 (winxp, ping разрешен) tracert 10.2.0.10 1. 55 ms    52 ms    56 ms    10.2.0.99 2.   *          *      *    Превышен интервал ожидания для запроса. добавление принудительно маршрута на pptp сервере не приносит результата route add -net 10.2.0.0 netmask 255.255.255.0 gw 10.2.0.100 eth1 # route Kernel IP routing table Destination     Gateway         Genmask         Flags Metric Ref    Use Iface 10.2.100.2      *               255.255.255.255 UH    0      0        0 ppp0 blablabla    *               255.255.255.248 U     0      0        0 eth0 10.2.100.0      *               255.255.255.0   U     0      0        0 eth1 10.2.0.0        10.2.0.100      255.255.255.0   UG    0      0        0 eth1 10.2.0.0        *               255.255.255.0   U     0      0        0 eth1 link-local      *               255.255.0.0     U     0      0        0 eth0 loopback        *               255.0.0.0       U     0      0        0 lo default         blablabla    0.0.0.0         UG    0      0        0 eth0 На клиенте: tracert 10.2.0.10 1. 55 ms    52 ms    56 ms    10.2.0.99 2.   *          *      *    Превышен интервал ожидания для запроса. В том случае, если сконфигурировать сервер pptp на использование IP адресов маршритизируемых по маске, то все ок. все пинги есть, все ресурсы доступны. т.е. eth1 10.2.0.99 /21 pptpd.conf localip 10.2.0.99 remoteip 10.2.3.1-30 Как заставить его видеть сеть?
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Маршрутизация пакетов в VPN сети"	+/–
Сообщение от PavelR (ok) on 26-Сен-12, 11:12
> Как заставить его видеть сеть? Вот так и оставить: >В том случае, если сконфигурировать сервер pptp на использование IP адресов маршритизируемых по маске, то все ок. все пинги есть, все ресурсы доступны. В чем проблема? //А проблема у вас в том, что вы развели бардак в настройках. Маски на интерфейсах как-бы совпадать должны. (на интерфейсах, которые входят в одну подсеть) Второе. Когда вы выдаете адреса на клиента из другой подсети, то трафик не идет возможно еще и потому, что впн-сервер не является маршрутизатором подсети впн-клиента с точки зрения компьютера локальной сети. Да и вообще, с вашими масками, комп локальной сети может искать этот адрес (пытаться отправлять к нему пакеты) не через маршрутизатор, а просто в своей локальной сети. Но тут уже вопрос вашего бардака. Приведенные вами настройки, конечно полезны и много проясняют, но любая книга по сетям - рекомендует рисовать схемы. Вот и рисуйте их.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	3. "Маршрутизация пакетов в VPN сети"	+/–
	Сообщение от Moomintroll (ok) on 26-Сен-12, 12:39
	> Второе. Когда вы выдаете адреса на клиента из другой подсети, то трафик > не идет возможно еще и потому, что впн-сервер не является маршрутизатором > подсети впн-клиента с точки зрения компьютера локальной сети. Да и вообще, > с вашими масками, комп локальной сети может искать этот адрес (пытаться > отправлять к нему пакеты) не через маршрутизатор, а просто в своей > локальной сети. Но тут уже вопрос вашего бардака. Не будьте так категоричны. У него в /etc/ppp/options.pptpd указано "proxyarp". Я так делал - работает.
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	4. "Маршрутизация пакетов в VPN сети"	+/–
	Сообщение от PavelR (ok) on 26-Сен-12, 12:56
	>> Второе. Когда вы выдаете адреса на клиента из другой подсети, то трафик >> не идет возможно еще и потому, что впн-сервер не является маршрутизатором >> подсети впн-клиента с точки зрения компьютера локальной сети. Да и вообще, >> с вашими масками, комп локальной сети может искать этот адрес (пытаться >> отправлять к нему пакеты) не через маршрутизатор, а просто в своей >> локальной сети. Но тут уже вопрос вашего бардака. > Не будьте так категоричны. У него в /etc/ppp/options.pptpd указано "proxyarp". Я так > делал - работает. =) Оно будет работать, если выдаваемый клиенту IP будет принадлежать диапазону сети локалки. Если  выдаваемый клиенту IP не принадлежит диапазону сети локалки, то будет просто раутинг. А работать он не будет, ИМХО, потому что впн-сервер не есть шлюз сети, из которой выдаются адреса клиентам. // я тоже много чего делал, и оно работает. ))
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	5. "Маршрутизация пакетов в VPN сети"	+/–
	Сообщение от Moomintroll (ok) on 26-Сен-12, 13:02
	> Оно будет работать, если выдаваемый клиенту IP будет принадлежать диапазону сети локалки. Упс... Недоглядел. Мне показалось, что выдаются 10.2.0.2-32
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	6. "Маршрутизация пакетов в VPN сети"	+/–
	Сообщение от PavelR (ok) on 26-Сен-12, 13:07
	>> Оно будет работать, если выдаваемый клиенту IP будет принадлежать диапазону сети локалки. > Упс... Недоглядел. Мне показалось, что выдаются 10.2.0.2-32 да, в написанном в топике очень много букв, всю голову сломал пока понял что там происходит. Да и то, не уверен что правильно понимаю что там происходит, просто вариантов закосячить не так много ))
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	7. "Маршрутизация пакетов в VPN сети"	+/–
	Сообщение от hatun (ok) on 28-Сен-12, 04:38
	>> Как заставить его видеть сеть? > Вот так и оставить: >>В том случае, если сконфигурировать сервер pptp на использование IP адресов маршритизируемых по маске, то все ок. все пинги есть, все ресурсы доступны. Нет, такой вариант крайне нежелателен, в связи с тем, что для подключенного vpn клиента становятся доступны все ресурсы сети. Это самый простой вариант. Не спортивно. > В чем проблема? > //А проблема у вас в том, что вы развели бардак в настройках. > Маски на интерфейсах как-бы совпадать должны. (на интерфейсах, которые входят в > одну подсеть) Кто такое вам сказал? Где определены такие требования? > Второе. Когда вы выдаете адреса на клиента из другой подсети, то трафик > не идет возможно еще и потому, что впн-сервер не является маршрутизатором > подсети впн-клиента с точки зрения компьютера локальной сети. Да и вообще, > с вашими масками, комп локальной сети может искать этот адрес (пытаться > отправлять к нему пакеты) не через маршрутизатор, а просто в своей > локальной сети. Но тут уже вопрос вашего бардака. > Приведенные вами настройки, конечно полезны и много проясняют, но любая книга по > сетям - рекомендует рисовать схемы. Вот и рисуйте их. Рисовать это правильно. И именно с помощью этого способа я нашел проблему )
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

2. "Маршрутизация пакетов в VPN сети"	+/–
Сообщение от Moomintroll (ok) on 26-Сен-12, 12:37
Сдаётся мне, что нехорошо иметь один и тот же IP-шник на разных интерфейсах... > pptpd.conf: > speed 115200 > connections 30 > localip 10.2.0.99           ^^^^^^^^^ - Укажите здесь совсем "левый" IP, например, 172.30.99.254. > remoteip 10.2.100.2-32
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	8. "Маршрутизация пакетов в VPN сети"	+/–
	Сообщение от hatun (ok) on 28-Сен-12, 05:07
	> Сдаётся мне, что нехорошо иметь один и тот же IP-шник на разных > интерфейсах... >> pptpd.conf: >> speed 115200 >> connections 30 >> localip 10.2.0.99 >           ^^^^^^^^^ - > Укажите здесь совсем "левый" IP, например, 172.30.99.254. >> remoteip 10.2.100.2-32 Можно и левый адрес указать. Но для работы необходимо сделать следующее: машина, которую пингую имеет ip 10.2.0.10 / 21  &  gw 10.2.0.100 vpn клиент ip 10.2.100.2 /24 & gw 10.2.100.1 Запрос проходит до 10.2.0.10, но ответ идет в никуда т.к. gw 10.2.0.100 ничего не знает о сети 10.2.100.0 / 24 СПС всем, кто прочитал и попытался вникнуть в суть проблемы.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	9. "Маршрутизация пакетов в VPN сети"	+/–
	Сообщение от PavelR (ok) on 28-Сен-12, 06:20
	> Сдаётся мне, что нехорошо иметь один и тот же IP-шник на разных > интерфейсах... Обычно пофиг =) Ничего нехорошего не замечал.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема