форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение		[ Отслеживать ]

"FreeBSD mpd+ipfw+natd winXP клиент"

Сообщение от sancho78rus (ok) on 21-Авг-08, 17:05

Есть маршрутизатор на FreeBSD 6.2 (шлюз для всех компов нашей локалки 192.168.1.0) На нем поднят mpd сервер. Удаленные клиенты WinXP подключаются (им выдается адрес сервера 192.168.100.1 и адрес клиента 192.168.100.2). Адрес сервера пингуется. С маршрутизатора клиент тоже пингуется. Проблема в том, что из внутренней сетки 192.168.1.0 с любого компа не подключиться к vpn клиенту (нужен rdp, radmin). fire.sh: 00100 divert 8668 ip from 192.168.1.0/24 to any out xmit rl0 00150 divert 8668 ip from any to {inet_ip} in recv rl0 00200 deny tcp from any to any dst-port 135-139 via rl0 ... 00501 allow ip from any to any via ng0 ... rl0 - внешний интерфейс (смотрит в инет) что не так?

Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "FreeBSD mpd+ipfw+natd winXP клиент"

Сообщение от universite (ok) on 22-Авг-08, 03:59

>что не так? конфиг и версию mpd в студию P.S. смотреть в сторону MTU

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	2. "FreeBSD mpd+ipfw+natd winXP клиент"
	Сообщение от sancho78rus (ok) on 22-Авг-08, 09:18
	> >>что не так? > >конфиг и версию mpd в студию > >P.S. смотреть в сторону MTU #mpd.conf (mpd-4.1) startup:         set console port 777         set console ip 127.0.0.1         set console user admin admid         set console open #     set web port 666 #     set web ip 192.168.13.3 #     set web user admin admin #     set web open default:         load pptp0 pptp0:         new -i ng0 pptp0 pptp0         load pptp_all pptp_all:         set ipcp ranges 192.168.100.1/24 192.168.100.2/24         set iface disable on-demand         set bundle enable multilink         set link yes acfcomp protocomp         set link no pap chap         set link enable chap         set link keep-alive 60 180         set ipcp yes vjcomp         set ipcp dns 192.168.1.2         set ccp yes mppc         set ccp yes mpp-e40         set ccp yes mpp-e56         set ccp yes mpp-e128         set bundle enable compression         set pptp enable incoming         set pptp disable originate         set iface enable proxy-arp         set iface enable tcpmssfix
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	3. "FreeBSD mpd+ipfw+natd winXP клиент"
	Сообщение от universite (ok) on 22-Авг-08, 18:02
	ставьте mpd5 и понижайте mtu при создании vpn
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "FreeBSD mpd+ipfw+natd winXP клиент"
	Сообщение от German (??) on 24-Авг-08, 13:23
	ану покаж mpd.links
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	5. "FreeBSD mpd+ipfw+natd winXP клиент"
	Сообщение от sancho78rus (ok) on 25-Авг-08, 14:32
	>ану покаж mpd.links pptp0:         set link type pptp
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	6. "FreeBSD mpd+ipfw+natd winXP клиент"
	Сообщение от sancho78rus (ok) on 26-Авг-08, 16:51
	есть у кого-нибудь идеи?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

7. "FreeBSD mpd+ipfw+natd winXP клиент"

Сообщение от Maxim (??) on 27-Авг-08, 17:41

>[оверквотинг удален] >00100 divert 8668 ip from 192.168.1.0/24 to any out xmit rl0 >00150 divert 8668 ip from any to {inet_ip} in recv rl0 >00200 deny tcp from any to any dst-port 135-139 via rl0 >... >00501 allow ip from any to any via ng0 >... > >rl0 - внешний интерфейс (смотрит в инет) > >что не так? Раз удаленному клиенту удается зацепиться у серверу, и он успешно получает IP думаю проблема в настройке фаервола думаю нужны правилa вроде deny ip from any to 10.0.0.0/8 via rl0 deny ip from any to 172.16.0.0/12 via rl0 deny ip from any to 192.168.0.0/16 via rl0 allow ip from 192.168.1.0/24 to 192.168.1.0/24

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "FreeBSD mpd+ipfw+natd winXP клиент"
	Сообщение от billybons2006 (ok) on 29-Авг-08, 15:59
	Я вот в этих правилах совсем не вижу, каким образом клиент (192.168.100.2) будет иметь дело с сетью 192.168.1.0/24. У меня просто вопрос как раз связан с этим, поэтому и спрашиваю. когда клиент подключен по vpn, на сервере создается интерфейс ng0: # ifconfig ng0 ng0: flags=88d1<UP,POINTOPOINT,RUNNING,NOARP,SIMPLEX,MULTICAST> metric 0 mtu 1296         inet 10.9.0.1 --> 10.9.0.3 netmask 0xffffffff Ок, на клиенте, соответственно, ipconfig (WinXP): test - PPP адаптер:         DNS-суффикс этого подключения . . :         IP-адрес  . . . . . . . . . . . . : 10.9.0.3         Маска подсети . . . . . . . . . . : 255.255.255.255         Основной шлюз . . . . . . . . . . : 10.9.0.3 На сервере есть squid на порту 3128, через которого клиент должен выходить в интернет, плюс почтовый сервер на этом же сервере, плюс почтовик в локалке... Моя локальная сеть 192.168.2.0/24, на сервере с mpd настроен ipfw, внешний интерфейс сервера vpn: sk0 (192.168.2.251), nat соответственно, на нем висит. Что мне настроить в конфигах mpd5, или ipfw, чтобы можно было клиенту обращаться к ресурсам внутренней сети? А то мой клиент (10.9.0.3) только сам себя пинговать и может.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

9. "FreeBSD mpd+ipfw+natd winXP клиент"

Сообщение от A Clockwork Orange on 29-Авг-08, 16:05

на основании таких правил ipfw нельзя сказать что не так.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	10. "FreeBSD mpd+ipfw+natd winXP клиент"
	Сообщение от billybons2006 (ok) on 01-Сен-08, 10:51
	allow ip from any to any via lo0 allow log logamount 100 ip from any to any via sk0 allow log logamount 100 ip from any to any via tun0 deny ip from any to me dst-port 3306 in via sk0 deny ip from any to me dst-port 3128 in via sk0 deny ip from any to me dst-port 25 in via sk0 deny ip from any to me dst-port 110 in via sk0 allow log logamount 100 udp from any to me dst-port 2093 in via sk0 allow udp from me 2093 to any out via sk0 allow udp from me to 195.5.128.130 out via sk0 allow udp from 195.5.128.130 to me in via sk0 divert 8668 ip from any to any in via sk0 check-state allow gre from any to any allow log logamount 100 tcp from 10.8.0.0/24 to me dst-port 1723 via tun0 allow log logamount 100 tcp from any to me dst-port 1723 via sk0 allow log logamount 100 tcp from me 1723 to any via sk0 00206 allow ip from any to any skipto 5000 log logamount 100 ip from any to any out via sk0 setup keep-state skipto 5000 log logamount 100 udp from me to any dst-port 53 out via sk0 keep-state skipto 5000 log logamount 100 udp from any to any dst-port 53 out via sk0 keep-state deny log logamount 100 tcp from any to any dst-port 53 in via sk0 skipto 5000 tcp from any to any dst-port 25 out via sk0 setup keep-state skipto 5000 tcp from any to any dst-port 110 out via sk0 setup keep-state skipto 5000 tcp from any to any dst-port 143 out via sk0 setup keep-state skipto 5000 tcp from any to any dst-port 995 out via sk0 setup keep-state skipto 5000 tcp from any to any dst-port 80 out via sk0 setup keep-state skipto 5000 tcp from any to any dst-port 443 out via sk0 setup keep-state skipto 5000 tcp from any to any dst-port 2082 out via sk0 setup keep-state skipto 5000 tcp from me to any out via sk0 setup uid root keep-state skipto 5000 tcp from any to any dst-port 37 out via sk0 setup keep-state skipto 5000 tcp from any to any dst-port 43 out via sk0 setup keep-state skipto 5000 udp from any to any dst-port 123 out via sk0 keep-state deny ip from 192.168.0.0/16 to any in via sk0 deny ip from 172.16.0.0/12 to any in via sk0 deny ip from 10.0.0.0/8 to any in via sk0 deny ip from 127.0.0.0/8 to any in via sk0 deny ip from 0.0.0.0/8 to any in via sk0 deny ip from 169.254.0.0/16 to any in via sk0 deny ip from 192.0.2.0/24 to any in via sk0 deny ip from 204.152.64.0/23 to any in via sk0 deny ip from 224.0.0.0/3 to any in via sk0 deny tcp from any to any dst-port 113 in via sk0 deny tcp from any to any dst-port 137 in via sk0 deny tcp from any to any dst-port 138 in via sk0 deny tcp from any to any dst-port 139 in via sk0 deny tcp from any to any dst-port 81 in via sk0 deny ip from any to any frag in via sk0 deny tcp from any to any established in via sk0 deny log logamount 100 ip from any to any in via sk0 deny log logamount 100 ip from any to any out via sk0 05000     0       0 divert 8668 ip from any to any out via sk0 allow ip from any to any deny log logamount 100 ip from any to any deny ip from any to any номера правил, кроме 5000, убрал, чтобы не отвлекали, sk0 - внешний интерфейс, tun0 - OpenVPN интерфейс, 00206 allow ip from any to any - сейчас все идет через это правило, чтобы не заморачиваться, что не так в настройках ipfw. сервер: ifconfig ng0 ng0: flags=88d1<UP,POINTOPOINT,RUNNING,NOARP,SIMPLEX,MULTICAST> metric 0 mtu 1296         inet 10.9.0.1 --> 10.9.0.3 netmask 0xffffffff клиент: test - PPP адаптер:         DNS-суффикс этого подключения . . :         IP-адрес  . . . . . . . . . . . . : 10.9.0.3         Маска подсети . . . . . . . . . . : 255.255.255.255         Основной шлюз . . . . . . . . . . : 10.9.0.3 Что посоветуете, чтобы клиент мог выходить в интернет и прочее? Хотя бы по максимуму разрешив ему все?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	11. "FreeBSD mpd+ipfw+natd winXP клиент"
	Сообщение от billybons2006 (ok) on 01-Сен-08, 11:33
	Слушайте, все работает, только странновато слегонца, но это вопрос времени на тестирование. Для соединения с почтовым сервером на сервере mpd надо с клиента коннектиться не к 10.9.0.1, а к 10.9.0.3, ведь в данном случае этот ip пробрасывает запросы к серверу, ЛИБО, что вдруг произошло, telnet на 25 порт с клиента на клиенте то так проходит: telnet 10.9.0.1 25 то так: telnet 10.9.0.3 25 Я еще поразбираюсь, странно, т.к. если все работает, то не должно быть таких изменений, тем более спонтанно. Я тут потестю, потом видно будет, ерунда или нет.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]