LinuxForum.Fans
Тема

PPTP соединение с локальной сетью

Автор: T0PT 17 сообщений 3346 просмотров
08.04.2011 09:10 #149284

Ситуация такая:
настроил ppp server подключаюсь с машин ХР,
внутренею сетку что за впн пингую всю,
пробую с клиента Хр подключится по рдп подключение проходит только к одному серверу, ко второму подключится не удается,
только если закрыть подключение с первым сервером удается подключится ко второму
подскажиет как сделаь возможость подключатся к двум серверам одновременно? :(

08.04.2011 09:16 #149286

oO странно
может проблема в xp
вывод iptables -L -n

08.04.2011 09:25 #149290

я сам в шоке oO

Показать

$ sudo iptables -L -n
Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
REJECT all -- 0.0.0.0/0 127.0.0.0/8 reject-with icmp-port-unreachable
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
ACCEPT 47 -- 0.0.0.0/0 0.0.0.0/0
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:1723
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:53
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:53
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:3128
ACCEPT tcp -- 172.16.6.0/24 0.0.0.0/0 tcp dpt:3128
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:21
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:20
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spts:1024:65535 dpts:1024:65535 state RELATED,ESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:1026
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:1027
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:20000
DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:111
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:445
DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:3128
DROP all -- 0.0.0.0/0 0.0.0.0/0

Chain FORWARD (policy DROP)
target prot opt source destination
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp spt:53
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:53
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:53
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:53
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:25
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:25
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:110
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:110
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:21
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:21
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:20
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:20
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spts:1024:65535 dpts:1024:65535 state RELATED,ESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:5432
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:5050
ACCEPT tcp -- 192.168.1.0/24 172.16.6.0/24
ACCEPT tcp -- 172.16.6.0/24 192.168.1.0/24

DROP all -- 0.0.0.0/0 0.0.0.0/0

Chain OUTPUT (policy DROP)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT 47 -- 0.0.0.0/0 0.0.0.0/0
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:1723
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0


192.168.1.0/24 - локалка за впн
172.16.6.0/24 - сеть котроую раздает впн
08.04.2011 09:32 #149294

Сам скрипт iptables покажите

08.04.2011 09:41 #149300

пожалуйста

Показать
iptables -F
iptables -F -t nat
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i ! lo -d 127.0.0.0/8 -j REJECT
iptables -A OUTPUT -o lo -j ACCEPT # test
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

iptables -A INPUT -p gre -j ACCEPT
iptables -A OUTPUT -p gre -j ACCEPT
iptables -A INPUT -p tcp --dport 1723 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 1723 -j ACCEPT

iptables -A FORWARD -p udp --sport 53 -j ACCEPT
iptables -A FORWARD -p tcp --sport 53 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -A FORWARD -p udp --dport 53 -j ACCEPT
iptables -A FORWARD -p tcp --dport 53 -j ACCEPT

iptables -A INPUT -i eth0 -p tcp --dport 3128 -j ACCEPT
iptables -A INPUT -s 172.16.6.0/24 -p tcp --dport 3128 -j ACCEPT

iptables -A INPUT -p icmp -j ACCEPT
iptables -A FORWARD -p icmp -j ACCEPT

iptables -A FORWARD -p tcp --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp --sport 25 -j ACCEPT
iptables -A FORWARD -p tcp --dport 110 -j ACCEPT
iptables -A FORWARD -p tcp --sport 110 -j ACCEPT

iptables -A INPUT -i eth0 -p tcp --dport 22 -j ACCEPT

iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 20 -j ACCEPT
iptables -A FORWARD -p tcp --dport 21 -j ACCEPT
iptables -A FORWARD -p tcp --sport 21 -j ACCEPT
iptables -A FORWARD -p tcp --dport 20 -j ACCEPT
iptables -A FORWARD -p tcp --sport 20 -j ACCEPT
iptables -A FORWARD -p tcp --sport 1024: --dport 1024: -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --sport 1024: --dport 1024: -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 1026 -j ACCEPT # pasiv mode
iptables -A INPUT -p tcp --dport 1027 -j ACCEPT # pasive mode

iptables -A INPUT -p tcp --dport 20000 -j ACCEPT

iptables -A INPUT -p tcp --dport 111 -j DROP
iptables -A INPUT -p tcp --dport 445 -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp --dport 3128 -j DROP

iptables -A FORWARD -p tcp -s 192.168.1.0/24 -d 172.16.6.0/24 -j ACCEPT
iptables -A FORWARD -p tcp -s 172.16.6.0/24 -d 192.168.1.0/24 -j ACCEPT

iptables -A FORWARD -p tcp -s 192.168.1.220/32 -j ACCEPT
iptables -A FORWARD -p tcp -d 192.168.1.220/32 -j ACCEPT
iptables -A FORWARD -p tcp -s 192.168.1.5/32 -j ACCEPT
iptables -A FORWARD -p tcp -d 192.168.1.5/32 -j ACCEPT
iptables -A FORWARD -p tcp -s 192.168.1.4/32 -j ACCEPT
iptables -A FORWARD -p tcp -d 192.168.1.4/32 -j ACCEPT

iptables -A INPUT -j DROP
iptables -A FORWARD -j DROP
iptables -A OUTPUT -j ACCEPT

iptables -t nat -A POSTROUTING -s 172.16.6.1/24 --out-interface ppp0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 172.16.6.1/24 --out-interface eth1 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 172.16.6.1/24 --out-interface eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.1.1/24 --out-interface ppp0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.1.1/24 --out-interface eth1 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 172.16.6.1/24 -d 192.168.1.1/24 -j MASQUERADE # test
iptables -t nat -A PREROUTING -s 172.16.6.0/24 -p tcp --dport 80 -j DNAT --to 192.168.1.200:3128
08.04.2011 09:44 #149301

А порт какой по которому конектитесь?

08.04.2011 09:48 #149302

подключаюсь сначала по впн (порт стандартный, не менял)
потом на рдп 3389

08.04.2011 09:54 #149305

Попробуй
где eth0 это 192.168.1.0/24
#
iptables -A INPUT -i eth0 -j ACCEPT
#
iptables -A OUTPUT -o eth0 -j ACCEPT

и ещё модули подгрузить
#
modprobe iptable_nat

08.04.2011 09:59 #149306

а что это даст?
у меня проблема в том что при подключении клиентом к впн
подключение по рдп работает но только одно!
те правила что вы написали позволят подключение к еще одному серверу по рдп в этомже канале впн?

08.04.2011 10:02 · отредактировано #149308

Нет это полный доступ от 192.168.1.0/24 к серверу
Чисто как проверка а модуль всё таки подгрузите

Это уберите
iptables -A INPUT -j DROP
iptables -A FORWARD -j DROP
iptables -A OUTPUT -j ACCEPT

Поставьте
iptables -P OUTPUT ACCEPT

А вообщем скрипт кривой до безобразия

08.04.2011 10:06 #149309

непомогло
есть другие предложения?

08.04.2011 10:07 · отредактировано #149311

http://pastebin.com/K9r1kY5q
вот мой стандартный проблем не было не когда

Погодите а куда конектитесь какая система XP?

08.04.2011 10:10 #149312

Система какая куда конектитесь через rdp?

08.04.2011 10:11 #149313

с Хр подключаюсь на рдп 2008 сервера

08.04.2011 10:16 #149314

проверьте свой 2008 а точнее firewall встроенный

08.04.2011 11:26 · отредактировано #149333
Kettler написал:
проверьте свой 2008 а точнее firewall встроенный

фаер не причем,
соединения возможні только с одним айпи за впн сервером,
другие соединения не проходять будьто 2008 терминал или 2003 или 2000
даже телнет не конектится
такое впечатление что клиент подключившись к рдп серверу не может соединится с дургими серверами по рдп, при разріве соединениня с первым рдп соединяется с любым другим и больше нискем

после некоторіх изменений удалось достичь следующего
телнетом можно одновременно подключатся к любому серверу а вот mstsc никак

11.04.2011 12:16 #150375

:(

Войдите или зарегистрируйтесь, чтобы ответить.