Уважаемые посетители!

XliN · 22.09.2011 15:14:48

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

Задача.
Есть локальная сеть на работе. В ней настроен VPNServer

VPNServer
IP: 192.168.3.223
GATEWAY: 192.168.3.77
DNS: 192.168.1.77

Он прекрасно работает. Клиенты из локали могут подключаться и получать доступ в инет.

Есть домашняя сеть дома

HOMECOMP
IP: 192.168.1.100
GATEWAY: 192.168.1.2
DNS: От провайдера

Как мне объединить мою домашнюю сеть с рабочей? На шлюзе (который инет отдает) настроена iptables и есть доменное имя blablba.dyndns.org.
Как мне перенаправить запросы от меня до VPN сервера.

Пробовал на шлюзе

Консоль:

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 1723 -j DNAT --to-destination 192.168.3.223
iptables -A FORWARD -i eth1 -o vlan3 -d 192.168.3.223 -p tcp -m tcp --dport 1723 -j ACCEPT

Не помогло.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

Kettler · 22.09.2011 17:05:58

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

Пробни так:

modprobe ip_nat_pptp

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 1723 -j DNAT --to-destination 192.168.3.223:1723
iptables -A FORWARD -i eth1 -o vlan3 -d 192.168.3.223 -p tcp -m tcp --dport 1723 -j ACCEPT
iptables -A FORWARD -i vlan3 -o eth1 -s 192.168.3.223 -p tcp -m tcp --sport 1723 -j ACCEPT

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 47 -j DNAT --to-destination 192.168.3.223:47
iptables -A FORWARD -i eth1 -o vlan3 -d 192.168.3.223 -p tcp -m tcp --dport 47 -j ACCEPT
iptables -A FORWARD -i vlan3 -o eth1 -s 192.168.3.223 -p tcp -m tcp --sport 47 -j ACCEPT

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

Kettler · 22.09.2011 17:05:58

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

Должно помоч. Ещё бы --mark добавил под шейпер.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

XliN · 22.09.2011 17:16:37

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

Не помогло... Вылазит 619 ошибка.
Может сам vpnserver не пускает?
Вот его настройки

+ открыть спойлер

Консоль:

# Generated by iptables-save v1.4.7 on Wed Sep 21 21:39:07 2011
*mangle
:PREROUTING ACCEPT [375:29086]
:INPUT ACCEPT [374:28854]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [231:38180]
:POSTROUTING ACCEPT [231:38180]
COMMIT
# Completed on Wed Sep 21 21:39:07 2011
# Generated by iptables-save v1.4.7 on Wed Sep 21 21:39:07 2011
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [231:38180]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p gre -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 1723 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 53 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -s 192.168.80.0/24 -o eth0 -j ACCEPT
-A FORWARD -d 192.168.80.0/24 -i eth0 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Wed Sep 21 21:39:07 2011
# Generated by iptables-save v1.4.7 on Wed Sep 21 21:39:07 2011
*nat
:PREROUTING ACCEPT [8:748]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -s 192.168.80.0/24 -o eth0 -j MASQUERADE
COMMIT
# Completed on Wed Sep 21 21:39:07 2011

Могу tcpdump показать, но там черт ногу сломит. Куча мусора всякого.

Kettler, все добавил на шлюз (192.168.3.77) и так же осталось.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

Kettler · 22.09.2011 17:19:10

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

А пров GRE не режит?
modpobe нормально прошол?

619 сервер видит но не пашет именно GRE.
И ещё не проще VPN поднять на самом шлюзе?

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

XliN · 22.09.2011 17:23:08

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

Kettler, вот так отрабатывает IPtables на шлюзе

Консоль:

0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:1723
2 96 ACCEPT tcp -- eth1 vlan3 0.0.0.0/0 192.168.3.223 tcp dpt:1723
0 0 ACCEPT tcp -- vlan3 eth1 192.168.3.223 0.0.0.0/0 tcp spt:1723
0 0 ACCEPT tcp -- eth1 vlan3 0.0.0.0/0 192.168.3.223 tcp dpt:47
0 0 ACCEPT tcp -- vlan3 eth1 192.168.3.223 0.0.0.0/0 tcp spt:47

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

Kettler · 22.09.2011 17:24:29

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

Попробуй пока FORWARD политику ACCEPT поставить и подлючиться.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

Kettler · 22.09.2011 17:24:33

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

Попробуй пока FORWARD политику ACCEPT поставить и подлючиться.

Запилило дублироваться.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

XliN · 22.09.2011 17:25:10

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

И tcpdump на vpnserver

+ открыть спойлер

[root@domain ~]# tcpdump -i eth0 -nn -ttt host 192.168.3.77 and not port 22
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
00:00:00.000000 IP 192.168.3.77.63109 > 192.168.3.223.1723: Flags [s], seq 690174222, win 16384, options [mss 1460,nop,nop,sackOK], length 0
00:00:00.000093 IP 192.168.3.223.1723 > 192.168.3.77.63109: Flags [S.], seq 664319733, ack 690174223, win 5840, options [mss 1460,nop,nop,sackOK], length 0
00:00:00.006338 IP 192.168.3.77.63109 > 192.168.3.223.1723: Flags [P.], seq 1:157, ack 1, win 17520, length 156: pptp CTRL_MSGTYPE=SCCRQ PROTO_VER(1.0) FRAME_CAP(A) BEARER_CAP(A) MAX_CHAN(0) FIRM_REV(2600) HOSTNAME() VENDOR(Microsoft Windows NT)
00:00:00.000045 IP 192.168.3.223.1723 > 192.168.3.77.63109: Flags [.], ack 157, win 6432, length 0
00:00:00.002495 IP 192.168.3.223.1723 > 192.168.3.77.63109: Flags [P.], seq 1:157, ack 157, win 6432, length 156: pptp CTRL_MSGTYPE=SCCRP PROTO_VER(1.0) RESULT_CODE(1) ERR_CODE(0) FRAME_CAP() BEARER_CAP() MAX_CHAN(1) FIRM_REV(1) HOSTNAME(local) VENDOR(linux)
00:00:00.020179 IP 192.168.3.77.63109 > 192.168.3.223.1723: Flags [P.], seq 157:325, ack 157, win 17364, length 168: pptp CTRL_MSGTYPE=OCRQ CALL_ID(256) CALL_SER_NUM(30999) MIN_BPS(300) MAX_BPS(100000000) BEARER_TYPE(Any) FRAME_TYPE(E) RECV_WIN(64) PROC_DELAY(0) PHONE_NO_LEN(0) PHONE_NO() SUB_ADDR()
00:00:00.000619 IP 192.168.3.223.1723 > 192.168.3.77.63109: Flags [P.], seq 157:189, ack 325, win 7504, length 32: pptp CTRL_MSGTYPE=OCRP CALL_ID(4736) PEER_CALL_ID(256) RESULT_CODE(1) ERR_CODE(0) CAUSE_CODE(0) CONN_SPEED(100000000) RECV_WIN(64) PROC_DELAY(0) PHY_CHAN_ID(0)
00:00:00.004276 IP 192.168.3.223 > 192.168.3.77: GREv1, call 256, seq 0, length 41: LCP, Conf-Request (0x01), id 1, length 27
00:00:00.000943 IP 192.168.3.77 > 192.168.3.223: ICMP 192.168.3.77 protocol 47 unreachable, length 69
00:00:00.000143 IP 192.168.3.223.1723 > 192.168.3.77.63109: Flags [F.], seq 189, ack 325, win 7504, length 0
00:00:00.017516 IP 192.168.3.77.63109 > 192.168.3.223.1723: Flags [P.], seq 325:349, ack 189, win 17332, length 24: pptp CTRL_MSGTYPE=SLI PEER_CALL_ID(4736) SEND_ACCM(0xffffffff) RECV_ACCM(0xffffffff)
00:00:00.000043 IP 192.168.3.223.1723 > 192.168.3.77.63109: Flags [R], seq 664319922, win 0, length 0
00:00:00.013286 IP 192.168.3.77.63109 > 192.168.3.223.1723: Flags [F.], seq 349, ack 190, win 17332, length 0
00:00:00.000017 IP 192.168.3.223.1723 > 192.168.3.77.63109: Flags [R], seq 664319923, win 0, length 0

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

Kettler · 22.09.2011 17:26:27

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

Ставь политику FORWARD ACCEPT на шлюзе потом дальше разберёмся,

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

XliN · 22.09.2011 17:27:57

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

Kettler, Пробовал на шлюзе все ставить в ACCEPT. На впн сервере тоже стоит везде ACCEPT

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

Kettler · 22.09.2011 17:28:35

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

возможно пров режет. Это у них бывает частенько.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

XliN · 22.09.2011 17:30:45

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

Думаешь режет GRE протокол? Альтернатива есть какая то?

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

Kettler · 22.09.2011 17:31:41

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

Сам перешол на OpenVpn

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

Kettler · 22.09.2011 17:32:21

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

А из внутренний сети нормально конект?

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

XliN · 22.09.2011 17:36:10

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

Kettler пишет:

А из внутренний сети нормально конект?

Да, замечательно работает. Вот еще с шифрованием разберусь. Хочется сделать, так как внутри локали от него толку ни какого

Kettler пишет:

Сам перешол на OpenVpn

Тоже работает через GRE протокол, разве не так?

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

Kettler · 22.09.2011 17:37:35

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

не работает с GRE порт выбираешь сам.
меня ещё радует tap

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

XliN · 22.09.2011 17:42:37

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

Я вот что подумал, пров не может резать т.к. трафик от меня виден в tcpdump сервера. Значит он пропускает его.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

Kettler · 22.09.2011 17:43:41

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

ещё раз спрошу.
Делал? modprobe ip_nat_pptp

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

+ XliN

XliN · 22.09.2011 17:48:02

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

Kettler, Ну ты красава!!! Нет конечно не делал. Молоток. Все заработало. !!!!

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

Kettler · 22.09.2011 17:55:18

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

Ну ёпти) видишь.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

XliN · 22.09.2011 17:55:43

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

Kettler, Так, локалка видна, но почему то вся кроме vlan4. Интересно почему. Инет сразу отваливается, т.к. меняется шлюз.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

Kettler · 22.09.2011 17:56:10

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

Вот это в MARK иначе посадят канал.

ptables -A FORWARD -i eth1 -o vlan3 -d 192.168.3.223 -p tcp -m tcp --dport 1723 -j ACCEPT
iptables -A FORWARD -i vlan3 -o eth1 -s 192.168.3.223 -p tcp -m tcp --sport 1723 -j ACCEPT

iptables -A FORWARD -i eth1 -o vlan3 -d 192.168.3.223 -p tcp -m tcp --dport 47 -j ACCEPT
iptables -A FORWARD -i vlan3 -o eth1 -s 192.168.3.223 -p tcp -m tcp --sport 47 -j ACCEPT

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

Kettler · 22.09.2011 17:56:16

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

Ну а дальше сам. Vlan4 какая подсеть?
Какую подсеть даёшь для VPN ?

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

Kettler · 22.09.2011 17:58:34

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

ещё route -n выложи с vpn server

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

XliN · 22.09.2011 17:59:35

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

Kettler пишет:

Ну а дальше сам. Vlan4 какая подсеть?

Это 192.168.1.0/24 - не видна. На шары не заходит

Эти видны, пинги по крайней мере идут.
vlan3 - 192.168.3.0/24
vlan5 - 192.168.2.0/24

Kettler пишет:

Вот это в MARK иначе посадят канал.

В минималку загоню, им хватит.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

XliN · 22.09.2011 18:00:41

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

Консоль:

[root@domain ~]# route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.3.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
169.254.0.0 0.0.0.0 255.255.0.0 U 1002 0 0 eth0
0.0.0.0 192.168.3.77 0.0.0.0 UG 0 0 0 eth0

Для VPN даю 192.168.80.0/24

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

Kettler · 22.09.2011 18:00:48

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

ping до 192.168.1.0/24 ?
А ещё лучше для начала проверь c самого сервера.
У меня уже в голове твоя сеть крутиться

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

XliN · 22.09.2011 18:05:17

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

Kettler пишет:

ping до 192.168.1.0/24 ?

Нет. До сервера не доходят, ну и так погонял по другим включенным компам. Странно. :o :O

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

XliN · 22.09.2011 18:05:55

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

--=XliN=-- пишет:

У меня уже в голове твоя сеть крутиться

Ну так ты же ее и помогал делать, если не ты, то я не знаю как ))

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

Уважаемые посетители!

Объединить две сети через интернет (Страница 1 из 3)

Сообщений с 1 по 30 из 64

1 Тема от XliN 22.09.2011 15:14:48 (22.09.2011 15:15:20 отредактировано XliN)

2 Ответ от Kettler 22.09.2011 17:05:58 (22.09.2011 17:07:12 отредактировано Kettler)

3 Ответ от Kettler 22.09.2011 17:05:58 (22.09.2011 17:17:01 отредактировано Kettler)

4 Ответ от XliN 22.09.2011 17:16:37 (22.09.2011 17:20:47 отредактировано XliN)

5 Ответ от Kettler 22.09.2011 17:19:10 (22.09.2011 17:23:00 отредактировано Kettler)

6 Ответ от XliN 22.09.2011 17:23:08

7 Ответ от Kettler 22.09.2011 17:24:29

8 Ответ от Kettler 22.09.2011 17:24:33 (22.09.2011 17:25:21 отредактировано Kettler)

9 Ответ от XliN 22.09.2011 17:25:10

10 Ответ от Kettler 22.09.2011 17:26:27

11 Ответ от XliN 22.09.2011 17:27:57

12 Ответ от Kettler 22.09.2011 17:28:35 (22.09.2011 17:28:56 отредактировано Kettler)

13 Ответ от XliN 22.09.2011 17:30:45

14 Ответ от Kettler 22.09.2011 17:31:41

15 Ответ от Kettler 22.09.2011 17:32:21

16 Ответ от XliN 22.09.2011 17:36:10

17 Ответ от Kettler 22.09.2011 17:37:35 (22.09.2011 17:38:34 отредактировано Kettler)

18 Ответ от XliN 22.09.2011 17:42:37

19 Ответ от Kettler 22.09.2011 17:43:41

20 Ответ от XliN 22.09.2011 17:48:02

21 Ответ от Kettler 22.09.2011 17:55:18

22 Ответ от XliN 22.09.2011 17:55:43 (22.09.2011 17:56:49 отредактировано XliN)

23 Ответ от Kettler 22.09.2011 17:56:10

24 Ответ от Kettler 22.09.2011 17:56:16 (22.09.2011 17:57:40 отредактировано Kettler)

25 Ответ от Kettler 22.09.2011 17:58:34

26 Ответ от XliN 22.09.2011 17:59:35

27 Ответ от XliN 22.09.2011 18:00:41

28 Ответ от Kettler 22.09.2011 18:00:48 (22.09.2011 18:03:12 отредактировано Kettler)

29 Ответ от XliN 22.09.2011 18:05:17

30 Ответ от XliN 22.09.2011 18:05:55

Сообщений с 1 по 30 из 64

Просматривают тему: 1 гость, 0 пользователей