Архив форумов ЦИТФорума

[mistik]

Доброе время суток ,проблема заключаеться втом ,что при подключении через впн не получаюсься парамметры шлюза. есть сервер на OpenBSD 3.8 на нем стоит впн сервер PoPTop 1.4. мне нужно подключиться к своей локалке , подключяюсь с машины по WinXP.подключение происходит и работают только сервисы находящиеся на том же сервере что и впн , а вся локалка не видна ,после некоторого времени проверок выяснилось что из ppp.conf не передаеться адрес шлюза и маски сети,хотя днс находящийся в ето мже файле передаеться .подскажите пожалуйсто если ктото сталкивался с похожей проблемой

[and3008]

Расставляем все точки над i.

1. У вас используется VPN сервер. Сервер работает на OpenBSD 3.8
2. Для организации VPN-подключений используется протокол PPTP, софт, который его реализует - PoPTop 1.4.
3. Проблема. Клиенты с WinXP, подключаясь по PPTP к серверу не имеют доступа к локальной сети. Вроде бы как ppp не передает адрес шлюза по умолчанию.


ОТВЕТЫ:
1. Ни PPTP, ни PPP, ни даже IPSec не передает клиенту адрес шлюза. Это уже проблема клиента что считать шлюзом и куда пакеты рулить. В Windows в св-вах VPN-подключения, св-ва TCP/IP есть галочка "Использовать стандартный шлюз". Установка этой галочки включает или отключает переопределение шлюза по умолчанию.
2. Шлюз по умолчанию и многие другие вкусности с сервера на клиента умеет передавать OpenVPN и некоторые другие реализации VPN. Для того, чтобы ими воспользоваться на Windows надо ставить софт. PPTP же является встроенным средством.

[mistik]

[and3008]

set ifaddr 192.168.0.200 192.168.0.50-192.168.0.60 255.255.255.0
Задает диапазон адресов, которые будут выдаваться клиентам при подключении.

Про галочку я уже все сказал. Никаких других способов просто нет.

"Нормальное" подключение будет только если галочку поставить.

Однако я отказался от использования PPTP, т.к. часто бывает что люди сидят в сегменте сложной сети, и им тоже надо иметь туда доступ. По этой и еще ряду причин я перешел на OpenVPN.

[mistik]

спасибо за совет вчера проовал перейти на опенвпн но тут тоже не все гладко почемуто создается клиентский сертификат но он пустой внутри , и насколько я понял из прочитанной литературы для опенвпн необходима клиентская программа в винде нету ничего встроенного?
А по поводу PPTP галочка стоит , а локалка не пингуеться ,после подключения мне доступны только те сервесы которые находятся локально на сервере к которому я подключон .

[and3008]

А компы, что в локалке стоят, куда шлюзом по умолчанию глядят? На этот же сервер или на какой другой роутер? Если на другой, то наверно надо ему объяснить, что пул IP-адресов для PPTP достигается через такой-то роутер.

[mistik]

компы смотрят на роутер ,а не на сервер но у них у всех статические адреса ,сервер находится с ними в томже сабнете,проблема в том что я не могу выйти за пределы сервера,кстати установил уже опенвпн наконецто все настроил ,но к моему сожалению происходит все тоже самое поэтому мне начинает казаться что проблема не в самом подключении ,единственное что приходит на ум ето ,то что надо писать таблицы роутинга на серваке или есть проблема в конфигурации вертуального интерфейса.кстати если тебя не затруднит обьяснить разницу между tun i tap ,интерфейсами в опенвпн,и от чего зависит использование одного из них ,так как из всей, мной прочитанной информации я так и не смог не одного ресурса на русском языке который мог обьяснить ето нормально .заранее благодарен за оказанную помощь.

[and3008]

[mistik]

Огромное спасибо буду копать

[mistik]

Перечитав Ваше обьеснение в очередной раз ,я заметил один мой промах
по всей видемости я не написал ,что у мня все работает в одном сабнете
10.0.1.0 и роутер и впн серевер и соответсвенно вся остальная сеть
и клиент подключаясь по впн полуучает 10.0.0.100
,когда я попытался сделать чтото похожее на add -net 10.0.1.0 /24 gw 10.0.1.200 (адрес физической карты сервера,) и он мне не дал добавить так ,только после прописания роутера как шлюз сервак вписал себе ето в таблицу.
тоесть из етого я сделал вывод что мне роутинг надо писать в самом серваке ,но до сих пор у меня не получилось научить его роутить весь трафик в лан через его локальный интерфейс.

[and3008]

[mistik]

Первоначально я бы хотел Вас поблагодорить за терпение .
По поводу адресов для клиентов впн я опечатался ,у меня все работают с одними и теми же адресами ,в сети 10.0.1.0/24 255.255.255.0
в роутере нету никаких возможностей добавлять роутинг (китайская коробка без мозгов) по поводу маршрутизации действительно есть несколько пробелов ,которые я пытаюсь закрыть ,колличесво материалов прочитанных на тему роутинга ,дествительно большой если сможете подсказать хороший ресурс на русском языке буду рад .
привожу пример ppp.conf
pptp:
enable MSChapV2
set timeout 0
set ifaddr 192.168.1.200 192.168.1.50-192.168.1.60 255.255.255.0
accept dns
set dns 192.115.106.95
set mppe 128 stateless
enable proxy


set ifaddr 192.168.1.200 192.168.1.50-192.168.1.60 255.255.255.0
из етой строчки я могу предположить что клиент тут должен получить адрес и маску.
если необходимы какието дополнительные конфигурации я их предоставлю,просто все направления возможных ашибок которые я проверял никчему не привели .

[and3008]

[mistik]

все именно так и происходит ка Вы можете увидеть клиенты получают адреса из спула 10.0.1.50-10.0.1.60 (взято как пример )тоесть тот же сабнет.

[and3008]

[mistik]

Ок до сих пор беседа была исключительно обстрактная если есть необходимость в реальных адресах то ето те которые написанны
в set ifaddr 192.168.1.200 192.168.1.50-192.168.1.60 255.255.255.0
если я праильно понял вопрос .
# tcpdump -i tun0
tcpdump: listening on tun0, link-type LOOP
22:17:37.268331 192.168.1.51 > pc2: icmp: echo request
22:17:42.855322 192.168.1.51 > pc2: icmp: echo request
22:17:47.792887 192.168.1.51 > pc2: icmp: echo request
22:17:53.374350 192.168.1.51 > pc2: icmp: echo request
22:23:02.224787 192.168.1.51.netbios-dgm > 255.255.255.255.netbios-dgm: udp 174
вот ето он мне пишет когда я пингую машину после подключения
причом команда виглядет так ping 192.168.1.104 , а в дампе я вижу что сервак поменял адрес айпи на хост рс2 ,тоесть я прехожу ко мнению что в таблице маршрутизации прописан путь к хосту

[and3008]

Ой блин...

Последний раз объясняю.

1. Клиент подключает к VPN-серверу.
2. Клиент получает на время сессии адрес 192.168.2.51
3. Клиент посылет пинг на комп PC2 (пусть это будет адрес 10.0.1.100)
4. Пакет от клиента попадает на сервер VPN, сервер VPN передает его во внутреннюю сеть. Комп PC2 пакет получает.
5. Комп PC2 отвечает на пакет от клиента. Напоминаю адрес клиента 192.168.2.51
6. Комп PC2 смотрит свою таблицу маршрутизации. Наверняка у него нет информации о маршруте к сети 192.168.2.0, поэтому ответ на пинг отправляется на шлюз по умолчанию, в надежде на то, что тот разберется куда же реально надо отправить пакет.
7. Пакет доставляется на тот ваш злосчастный китайский роутер. Говорите у него нету возможности изменить таблицу маршрутизации? Ну в общем вы не смогли ее исправить. Ну тогда роутер этот тоже пошлет пакет туда, где указан его шлюз по умолчанию. Наверно это уже Интернет провайдер? Роутер интернет провайдера примет пакет и если он ПРАВИЛЬНО настроен, то пакет будет немедленно уничтожен, т.к. адреса 192.168.0.0 / 255.255.0.0 предназначены для локальных сетей. Если такой пакет появляется в глобальной сети, то он уничтожается на ближайшем роутере. Так гласит RFC (номер не помню).

ВЫВОДЫ:
Либо все же почитайте что такое таблица маршрутиации, либо уже обратитесь к местным специалистам. И не надо путать роутинг (routing) и резольвинг (resolving). Первое - это способность определять направление передачи пакетов, второе - способность преобразовывать IP-адреса в логически понятные имена. Если у вас на компе в tcpdump вместо 10.0.1.100 показывается PC2, то это правильно работает резольвинг.
Резольвинг и роутинг - независимые друг от друга вещи. Не надо их путать и делать из этого глубокомысленные выводы.