Поднятие VPN. Криво. Нужна помощь

[archy]

Всем доброго времени суток.

Сразу извиняюсь, возможно кидаю вопрос немного не в ту тему.. поправте если что не так..



Тема состоит вот в чем.(пишу очень коряво)



Есть у меня сеть. Наружу она смотрит через FreeBSD. Внутри - Виндовый сервер.

Задача. Поднять на виндах VPN сервер. с этим проблем особых не было. внутри сети, VPN сессия или как там оно называется, замечательным образом устанавливается. Проблемы возникли, когда начали тестировать это дело снаружи.



1. В inetd сделали переброску(или как это правильно назвать) запросов по pptp на виндовый сервак на соответствующий порт(с помощью nc).

2. в ipfw разрешили TCP по соответствующему порту(1723).

3. умные люди сказали что в ipfw нада еще и разрешить такую вещь как gre. тоже разрешили. В целях тестирования даже from any to any.



Итог орказался плачевным. В процессе тестирования снаружи опять таки винды. клиент коннектится к серверу. Даже о чем то с ним общается.. Траффик что по TCP что по GRE немного даже идет. Но на этом все заканчивается и клиент выдает замечательную фразу



Error 806: A connection between your computer and the VPN server

has been established, but the VPN connection cannot be

completed. The most common cause for this is that at least 0ne

Internet device (for example, a firewall or a router) between your

computer and the VPN server is not configured to allow Generic

Routing Encapsulation (GRE) protocol packets. Verify that protocol

47 (GRE) is allowed on all personal firewall devices or routers.



вот. Честно признаю - я мало чего гдето както соображаю. и руки местами кривые... Поиски в нете и чтение документации привели к тому что я перестала понимать вообще что-либо.. Что я не так делаю? Помогите, кто чем может... ПЛЗ!

[archy]

Настроить VPN сервер на freebsd, например mpd.

[archy]

настроить надо именно на виндах.

а через никсы сделать проброску.

в том то и вся проблема.

[FrIcE]

Сделай на файрволе редирект портов.

[FrIcE]

Технология работы VPN от Microsoft такая:

Клиент подключается на порт 1723 сервера и они договариваются о сеансе связи и его параметрах. Затем, через это же соединение может происходить контроль соединения и поддержание его в рабочем состоянии, про то я не ведаю, а ведаю, что через протокол GRE передаются те самые инкапсулированные в него шифрованные данные. Т.е. я бы сделал так:

ставлю NAT на FreeBSD

делаю редирект порта TCP под нумером 1723

делаю редирект протокола GRE

оба редиректа делаю на машинку - ака Вынь (Windows).

Минусы в том, что твоя Вынь мышина при этом будет как бы прямо в инете именно по VPN и что на другую машину такой же VPN теперь не попишешь.

само собой нужно клиентов, которые подключаются к энтой машине разрешить и никоих других.



P.S. А какая-такая причина, если не секрет, требует подключения именно к Windows, а не к FreeBSD, которое (подключение) будет при этом таким же, а вот все остальное при этом можно и на Windows сервер перенаправить (после подключения к FreeBSD).???

[IgorK]

огромное спасибо за ответ.

редирект тсп 1723 порта я сделала.. а как сделать редирект GRE?



если не сложно? ну.. какойнибуть пример..

очень прошу..

потому что так как перенапрявляетс я 1723(см изначальный пост), там GRE не проходит.. ну не воспринимается вообще. ерроры в логах выдает.



я просто не совсем разбираюсь в никсах.. вот.. и получаеются такие проблемы.



причина.. требование руководства. вот..

[IgorK]

man natd



и где написано

-redirect_port - перенаправление портов

-redirect_proto - перенаправление протокола

там и читать.

А в конфиге, если, конечно, используется, можна так и писать, как в мане:



redirect_port bla...bla...bla

redirect_proto bla...bla...bla



Не дословно, конечно, как у меня

[IgorK]

спасибо огромное.

поняла. разобралась. почитала маны. написала.

перегрузила.

только не помогло.

ошибка таже - см пост выше.. ((

какие есть еще идеи?

[IgorK]

Ну тут бы я послушал процесс установления соединения на всех интерфейсах. Внешнем в инете, внутреннем для FreeBSD, единственном на Win и посмотрел, что же у меня реально происходит. И происходит ли? Бывало так, что трансляция пакетов не выполнялась по причинам ipfw. Бывало, что и внутренняя машина имела свои прибабахи. Чем лучше понимаешь происходящие в системе процессы, тем быстрее и эффективнее решение.

[IgorK]

Да, tcpdump для FreeBSD и WinDump+WinPCap для Windows использовал.