Глючит pptpd сервер

20.11.2011 12:11 · отредактировано #206917

Достался в наследство впн сервер на офисном шлюзе с внутренним адресом Eth1 - 192.168.2.1.
За ним стоит локальная сетка 192.168.2.0/24
Уточню - впн сервер и офисный шлюз - одна и таже машина.
В настройках cat /etc/pptpd.conf стоит раздача

text

localip 192.168.200.1
remoteip 192.168.200.200-224

text

[root@mail ppp]# cat options.pptpd  | grep  -v ^#
name pptpd
refuse-pap
refuse-chap
require-mschap-v2
require-mschap
require-mppe
require-mppe-128
ms-dns 192.168.2.2
ms-wins 192.168.2.2
proxyarp
debug
lock
nobsdcomp
novj
novjccomp
nologfd

Захожу из под винды. Захожу нормально, получаю адрес, пингую внутренние сервера локалки.
Проблема - не могу зайти бравзером ни на один внутренний веб сервер. И также не могу бравзером зайти на любой внешний сайт. Не пингуется ресурсы из мира.

Поставил правило

text

/sbin/iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

пинги наружу пошли

Проблема с бравзером осталась.
Iptables-save

Показать

text

[root@mail sysconfig]# /sbin/iptables-save 
# Generated by iptables-save v1.4.3.2 on Sun Nov 20 10:15:17 2011
*mangle
:PREROUTING ACCEPT [15123:3272059]
:INPUT ACCEPT [5332:958303]
:FORWARD ACCEPT [9356:2251115]
:OUTPUT ACCEPT [4775:708215]
:POSTROUTING ACCEPT [14131:2959330]
COMMIT
# Completed on Sun Nov 20 10:15:17 2011
# Generated by iptables-save v1.4.3.2 on Sun Nov 20 10:15:17 2011
*nat
:PREROUTING ACCEPT [1744:372310]
:POSTROUTING ACCEPT [227:17144]
:OUTPUT ACCEPT [677:49354]
-A PREROUTING -i eth0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.2.2 
-A PREROUTING -i eth1 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.2.2 
-A POSTROUTING -s 192.168.2.2/32 -p tcp -m tcp --sport 3389 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.2/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.49/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.50/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.112/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.100/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.103/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.107/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.104/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.105/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.127/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.133/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.134/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.135/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.116/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.115/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.118/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.128/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.123/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.119/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.114/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.140/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.124/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.121/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.194/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.129/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.126/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.131/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.137/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.111/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.108/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.200/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.51/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.102/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.122/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.141/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.142/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.143/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -s 192.168.2.106/32 -o eth0 -j SNAT --to-source 62.80.171.210 
-A POSTROUTING -o eth0 -j MASQUERADE 
COMMIT
# Completed on Sun Nov 20 10:15:17 2011
# Generated by iptables-save v1.4.3.2 on Sun Nov 20 10:15:17 2011
*raw
:PREROUTING ACCEPT [15123:3272059]
:OUTPUT ACCEPT [4775:708215]
COMMIT
# Completed on Sun Nov 20 10:15:17 2011
# Generated by iptables-save v1.4.3.2 on Sun Nov 20 10:15:17 2011
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [4769:707935]
-A INPUT -i lo -j ACCEPT 
-A INPUT -i eth1 -j ACCEPT 
-A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT 
-A INPUT -p gre -j ACCEPT 
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT 
-A INPUT -p udp -m udp --dport 161:162 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 25 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 110 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 10000 -j ACCEPT 
-A INPUT -i eth1 -p tcp -m tcp --dport 3128 -m state --state NEW -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 993 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 995 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 465 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 3389 -m state --state NEW -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 2525 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 1723 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 1723 -j ACCEPT 
-A INPUT -p gre -j ACCEPT 
-A INPUT -j REJECT --reject-with icmp-port-unreachable 
-A FORWARD -i eth1 -j ACCEPT 
-A FORWARD -o eth0 -p tcp -m tcp --dport 25 -j LOG 
-A FORWARD -o eth0 -p tcp -m tcp --dport 25 -j REJECT --reject-with icmp-host-prohibited 
-A FORWARD -j ACCEPT 
-A OUTPUT -p tcp -m tcp --sport 1723 -j ACCEPT 
COMMIT
# Completed on Sun Nov 20 10:15:17 2011

20.11.2011 12:31 #206921

Начинай проверку с ДНС

20.11.2011 12:32 #206922

nskookup - что говорит?

20.11.2011 13:07 · отредактировано #206927

Ka3aH6ac написал:
Начинай проверку с ДНС

днс отдается. пинги внутренних ресурсов по доменному имени проходят

text

C:\Windows\System32>nslookup.exe redmine
╤хЁтхЁ:  dc.rp.ua
Address:  192.168.2.2
╚ь :     redmine.rp.ua
Address:  192.168.2.49
C:\Windows\System32>nslookup.exe 20.local
╤хЁтхЁ:  dc.rp.ua
Address:  192.168.2.2
╚ь :     20.local.rp.ua
Address:  192.168.2.112

ситуация вообще выглядит странно - а именно, когда в бравзере забиваешь имя ресурса, статус строка бравзера говорит что соединение установлено . в ацесс логе сервера (nginx)вижу запрос со своего впн айпишника

text

192.168.200.200 - - [20/Nov/2011:11:15:23 +0200] "-" 400 0 "-" "-"

20.11.2011 13:31 #206934

Для примера... У меня вот iptables на VPN

Показать

text

# Generated by iptables-save v1.4.7 on Sun Nov 20 13:32:37 2011
*mangle
:PREROUTING ACCEPT [1613406:1099038588]
:INPUT ACCEPT [688124:92137963]
:FORWARD ACCEPT [894700:1001077126]
:OUTPUT ACCEPT [1029081:1042762965]
:POSTROUTING ACCEPT [1923751:2043836110]
COMMIT
# Completed on Sun Nov 20 13:32:37 2011
# Generated by iptables-save v1.4.7 on Sun Nov 20 13:32:37 2011
*nat
:PREROUTING ACCEPT [40261:5001661]
:POSTROUTING ACCEPT [3534:261097]
:OUTPUT ACCEPT [3534:261097]
-A POSTROUTING -s 192.168.80.0/24 -o eth0 -j MASQUERADE
COMMIT
# Completed on Sun Nov 20 13:32:37 2011
# Generated by iptables-save v1.4.7 on Sun Nov 20 13:32:37 2011
*filter
:INPUT ACCEPT [14961:2023131]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1029051:1042758984]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 1723 -j ACCEPT
-A INPUT -p gre -j ACCEPT
-A FORWARD -d 192.168.80.0/24 -i eth0 -j ACCEPT
-A FORWARD -s 192.168.80.0/24 -o eth0 -j ACCEPT
COMMIT
# Completed on Sun Nov 20 13:32:37 2011

И на самом шлюзе

text

-A INPUT -i eth1 -p tcp -m tcp --sport 80 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o eth1 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o eth1 -p tcp -m tcp --sport 80 -j ACCEPT

eth1 -на шлюзе смотрит в инет.

20.11.2011 15:11 #206966

--=XliN=-- написал:

Для примера... У меня вот iptables на VPN

Показать

text

# Generated by iptables-save v1.4.7 on Sun Nov 20 13:32:37 2011
*mangle
:PREROUTING ACCEPT [1613406:1099038588]
:INPUT ACCEPT [688124:92137963]
:FORWARD ACCEPT [894700:1001077126]
:OUTPUT ACCEPT [1029081:1042762965]
:POSTROUTING ACCEPT [1923751:2043836110]
COMMIT
# Completed on Sun Nov 20 13:32:37 2011
# Generated by iptables-save v1.4.7 on Sun Nov 20 13:32:37 2011
*nat
:PREROUTING ACCEPT [40261:5001661]
:POSTROUTING ACCEPT [3534:261097]
:OUTPUT ACCEPT [3534:261097]
-A POSTROUTING -s 192.168.80.0/24 -o eth0 -j MASQUERADE
COMMIT
# Completed on Sun Nov 20 13:32:37 2011
# Generated by iptables-save v1.4.7 on Sun Nov 20 13:32:37 2011
*filter
:INPUT ACCEPT [14961:2023131]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1029051:1042758984]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 1723 -j ACCEPT
-A INPUT -p gre -j ACCEPT
-A FORWARD -d 192.168.80.0/24 -i eth0 -j ACCEPT
-A FORWARD -s 192.168.80.0/24 -o eth0 -j ACCEPT
COMMIT
# Completed on Sun Nov 20 13:32:37 2011

И на самом шлюзе

text

-A INPUT -i eth1 -p tcp -m tcp --sport 80 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o eth1 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o eth1 -p tcp -m tcp --sport 80 -j ACCEPT

eth1 -на шлюзе смотрит в инет.

А ненадо никаких движений с роутингом делать? всеж таки раздается сеть отличная от офисной

20.11.2011 15:13 #206968

100matolog написал:

А ненадо никаких движений с роутингом делать? всеж таки раздается сеть отличная от офисной

Ну если подсеть одна, а исходя из первого сообщения это так 192.168.2.0/24 то не надо.

20.11.2011 15:31 #206975

newzenon написал:
[quote=100matolog]
А ненадо никаких движений с роутингом делать? всеж таки раздается сеть отличная от офисной

Ну если подсеть одна, а исходя из первого сообщения это так 192.168.2.0/24 то не надо.[/quote]
ну тогда я вообще не понимаю почему не отдаются внутренние веб сервера.

20.11.2011 16:11 #206984

[console]iptables -I INPUT -p gre -j ACCEPT
iptables -I INPUT -p tcp -m state --state NEW -m tcp --dport 1723 -j ACCEPT
iptables -I INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD -s 192.168.200.0/24 -o eth1 -j ACCEPT
iptables -I FORWARD -d 192.168.200.0/24 -i eth1 -j ACCEPT
iptables -t nat -I POSTROUTING -s 192.168.200.0/24 -o eth1 -j MASQUERADE[/console]
По идее этого должно хватать... С VPN вы же соединяетесь? Так что надо искать где собака зарыта.

Когда в винде создавали ВПН соединение не убирали галочку "Использовать основной шлюз в удаленной сети"?
Как инет предоставляется клиентам, может где режется? У меня пока не откроешь доступ по IP, ничего не произойдет. Хотя пинги во внешку ходят.

20.11.2011 16:28 #206990

--=XliN=-- написал:
[console]iptables -I INPUT -p gre -j ACCEPT
iptables -I INPUT -p tcp -m state --state NEW -m tcp --dport 1723 -j ACCEPT
iptables -I INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD -s 192.168.200.0/24 -o eth1 -j ACCEPT
iptables -I FORWARD -d 192.168.200.0/24 -i eth1 -j ACCEPT
iptables -t nat -I POSTROUTING -s 192.168.200.0/24 -o eth1 -j MASQUERADE[/console]
По идее этого должно хватать... С VPN вы же соединяетесь? Так что надо искать где собака зарыта.

Когда в винде создавали ВПН соединение не убирали галочку "Использовать основной шлюз в удаленной сети"?
Как инет предоставляется клиентам, может где режется? У меня пока не откроешь доступ по IP, ничего не произойдет. Хотя пинги во внешку ходят.

да. с галочкой игрался. не помогает. инет то появляется - но внутренний вебсервер недоступен. инет не режется. классический нат

20.11.2011 16:51 · отредактировано #207003

А веб сервер на чем? Может там где режется сетка 200.ххх, хотя если нат, ему пофигу должно быть.

20.11.2011 17:05 #207008

А ты про бывал вообще отключить фаервол, чтобы удостоверится что у тебя с iptables проблемы?

20.11.2011 17:13 #207011

--=XliN=-- написал:
А веб сервер на чем? Может там где режется сетка 200.ххх, хотя если нат, ему пофигу должно быть.

сервер nginx
но там я смотрел конфиг - он ни на какую сетку не забинден. слушает все подряд

20.11.2011 17:14 #207012

Ka3aH6ac написал:
А ты про бывал вообще отключить фаервол, чтобы удостоверится что у тебя с iptables проблемы?

отключал.
тоже ничего не работает.
в смысле что вебсервер не доступен.
но по идее он и не должен быть доступен. ведь сетка то другая. как локальная сеть узнает о впн сети без роутинга/фаервола

20.11.2011 17:24 #207016

При подключенном vpn покажи на клиенте вывод route print

20.11.2011 19:10 #207047

Kettler написал:
При подключенном vpn покажи на клиенте вывод route print

до коннекта к впну

text

[root@mail ~]# /sbin/ip route      
62.216.34.44/30 dev eth0  proto kernel  scope link  src 62.216.34.46 
62.80.171.208/30 dev eth0  proto kernel  scope link  src 62.80.171.210 
192.168.2.0/24 dev eth1  proto kernel  scope link  src 192.168.2.1 
192.168.1.0/24 dev eth1  scope link 
169.254.0.0/16 dev eth1  scope link 
default via 62.80.171.209 dev eth0

и после коннекта к впну

text

[root@mail ~]# /sbin/ip route
192.168.200.200 dev ppp0  proto kernel  scope link  src 192.168.200.1 
62.216.34.44/30 dev eth0  proto kernel  scope link  src 62.216.34.46 
62.80.171.208/30 dev eth0  proto kernel  scope link  src 62.80.171.210 
192.168.2.0/24 dev eth1  proto kernel  scope link  src 192.168.2.1 
192.168.1.0/24 dev eth1  scope link 
169.254.0.0/16 dev eth1  scope link 
default via 62.80.171.209 dev eth0

20.11.2011 21:31 · отредактировано #207095

100matolog написал:
default via 62.80.171.209 dev eth0

Вот это не то? Получается что пакетики бегут не через VPN. Вот и не открывается. Я только что проверил.
Вот у меня до

Показать

[console]===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.0.1 192.168.0.59 20
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.0.0 255.255.255.0 192.168.0.59 192.168.0.59 20
192.168.0.59 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.0.255 255.255.255.255 192.168.0.59 192.168.0.59 20
224.0.0.0 240.0.0.0 192.168.0.59 192.168.0.59 20
255.255.255.255 255.255.255.255 192.168.0.59 192.168.0.59 1
Основной шлюз: 192.168.0.1
===========================================================================[/console]

Вот после, но галачка стоит. Все хорошо. Стоит снять, так на http в сети не попасть, даже пинги не идут. Хотя к VPN цепляется.

Показать

[console]===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.0.1 192.168.0.59 21
0.0.0.0 0.0.0.0 192.168.80.61 192.168.80.61 1
46.72.58.208 255.255.255.255 192.168.0.1 192.168.0.59 20
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.0.0 255.255.255.0 192.168.0.59 192.168.0.59 20
192.168.0.59 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.0.255 255.255.255.255 192.168.0.59 192.168.0.59 20
192.168.80.61 255.255.255.255 127.0.0.1 127.0.0.1 50
192.168.80.255 255.255.255.255 192.168.80.61 192.168.80.61 50
224.0.0.0 240.0.0.0 192.168.0.59 192.168.0.59 20
224.0.0.0 240.0.0.0 192.168.80.61 192.168.80.61 1
255.255.255.255 255.255.255.255 192.168.0.59 192.168.0.59 1
255.255.255.255 255.255.255.255 192.168.80.61 192.168.80.61 1
Основной шлюз: 192.168.80.61
===========================================================================[/console]

Так что меняй шлюз на VPN и все будет работать.