VPF::проблемма iptables + pptpd + интернет шлюз

serioga911

Дата 14.2.2011, 14:42 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 11
Регистрация: 14.2.2011

Репутация: нет
Всего: нет

Доброго времени суток
Я в linux новичек, но пришлось с чего-то начинать
Ситация такая - есть сервер на базе Debian 2 сетевые платы
eth0 смотрит в интернет на провайдера с выделенной линией
eth1 смотрит в интернет через adsl модем (модем настроен в роутере порты 1723,22, gre 45 проброшены)
На сервере подня pptpd сервер.
Что нужно ? Надо чтоб к серверу подключались пользователи провайдера adsl по впн и использовали трафик провайдера выделенки, т. е. сервак должен заворачивать трафик с eth0 на впн соединение pppo
как то так вроде
Мучаюсь уже несколько дней никак не выходит помогите плиз!

вот ifconfig

Код


eth0      Link encap:Ethernet  HWaddr 00:e0:4c:4d:1b:d7
          inet addr:192.168.0.239  Bcast:192.168.0.255  Mask:255.255.255.0
          inet6 addr: fe80::2e0:4cff:fe4d:1bd7/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:221 errors:0 dropped:0 overruns:0 frame:0
          TX packets:86 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:19275 (18.8 KiB)  TX bytes:11135 (10.8 KiB)
          Interrupt:18 Base address:0xa000

eth1      Link encap:Ethernet  HWaddr 00:e0:52:84:97:47
          inet addr:192.168.1.2  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::2e0:52ff:fe84:9747/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:35 errors:0 dropped:0 overruns:0 frame:0
          TX packets:30 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:4375 (4.2 KiB)  TX bytes:4860 (4.7 KiB)
          Interrupt:21 Base address:0xa400

вот iptables

Код


echo "1" > /proc/sys/net/ipv4/ip_forward

#echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter
#echo "1" > /proc/sys/net/ipv4/conf/all/proxy_arp
#echo "1" > /proc/sys/net/ipv4/ip_dynaddr

###########################################################################
itables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
# reset the default policies in the nat table.
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
# reset the default policies in the mangle table.
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P OUTPUT ACCEPT
# flush all the rules in the filter and nat tables.
iptables -F
iptables -t nat -F
iptables -t mangle -F
# erase all chains that's not default in filter and nat table.
iptables -X
iptables -t nat -X
iptables -t mangle -X
# Let's go
iptables -v -P INPUT ACCEPT
iptables -v -P OUTPUT ACCEPT
iptables -v -P FORWARD ACCEPT

iptables -v -A INPUT -i lo -j ACCEPT
iptables -v -A INPUT -i eth1 -j ACCEPT
iptables -v -A INPUT -i ppp0 -j ACCEPT
iptables -v -A INPUT -i eth0 -j ACCEPT
iptables -v -A OUTPUT -o lo -j ACCEPT
iptables -v -A OUTPUT -o eth1 -j ACCEPT
iptables -v -A OUTPUT -o ppp0 -j ACCEPT
iptables -v -A OUTPUT -o eth0 -j ACCEPT



iptables -v -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -v -A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT

iptables -A FORWARD -o eth0 -s 192.168.1.0/24 -j ACCEPT
iptables -A FORWARD -o eth1 -d 192.168.1.0/24 -j ACCEPT

iptables -v -A FORWARD -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -v -A FORWARD -i eth1 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
iptables -v -A FORWARD -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -v -A FORWARD -i eth0 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT

# В интернет
iptables -v -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
iptables -v -t nat -A POSTROUTING -o eth0 -j MASQUERADE
# Внутренний
 iptables -t nat -A POSTROUTING -d eth1 -j MASQUERADE
 iptables -v -t nat -A POSTROUTING -d 192.168.1.0/24 -j MASQUERADE

iptables -v -t nat -A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE
iptables -A INPUT —p tcp —m tcp —dport 22 —j ACCEPT
iptables -A INPUT —p tcp —m tcp —dport 1723 —j ACCEPT
iptables  -A INPUT -p gre -j ACCEPT
iptables  -A OUTPUT -p gre -j ACCEPT

ZeeLax

Дата 14.2.2011, 19:29 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88

Цитата(serioga911 @ 14.2.2011, 17:42

)

Я в linux новичек, но пришлось с чего-то начинать

С документации надо начинать.

--------------------

Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson

serioga911

Дата 14.2.2011, 19:58 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 11
Регистрация: 14.2.2011

Репутация: нет
Всего: нет

Документацию я читал по iptables, но согласитесь не каждый в ней сразу разберется, поэтому и решил обратиться к знающим людям, чтоб могли подсказать и объяснить в правильном ли направлении я делаю
правла я написал вы лишь подскажите что не так ?

ZeeLax

Дата 15.2.2011, 07:04 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88

Так надо было не только про iptables. iptables - это только интерфейс управления сетевым фильтром ядра. Сам по себе он ничего не делает. Опять же, маршрутизация трафика настраивается не через iptables и делает её не netfilter.

Во-вторых, вы так и не написали, что не работает? Не привели логов, каких-то ещё изысканий в сторону вопроса.
А правила ваши, кроме вас, никому не нужны, и читать их никто не будет, от нечего делать, если вы пытаетесь решить проблему.

--------------------

Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson

serioga911

Дата 15.2.2011, 10:36 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 11
Регистрация: 14.2.2011

Репутация: нет
Всего: нет

Цитата

Во-вторых, вы так и не написали, что не работает?

После включения или перезагрузки сервера он пускает к себе только со стороны выделенки по ssh, но спустя 4-5 часов со стороны adsl доступ по VPN устанавливается - соединение поднимается и через канал VPN идет трафик выделенки? т. е. все работает как надо, но всего 3-5 минут и соединени обрывается после этого нужно опять ребутится и ждать 4-5 часов. Возможно конфликтуют правила в iptables ?

Цитата

Не привели логов

по логам напишите конретнее что именно выложить?

вот что могу предоставить

iptables -L -nv -t nat

Код


Chain PREROUTING (policy ACCEPT 1193 packets, 78922 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 DNAT       tcp  --  *      *       0.0.0.0/0            192.168.0.239       tcp dpt             :1723 to:192.168.1.2

Chain POSTROUTING (policy ACCEPT 1 packets, 61 bytes)
 pkts bytes target     prot opt in     out     source               destination
  951 65033 MASQUERADE  all  --  *      eth0    0.0.0.0/0            0.0.0.0/0
    0     0 SNAT       all  --  *      eth0    192.168.1.0/24      !192.168.1.0/24      to:192.             168.0.239

Chain OUTPUT (policy ACCEPT 696 packets, 51041 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 DNAT       tcp  --  *      *       0.0.0.0/0            192.168.0.239       tcp dpt             :1723 to:192.168.1.2

iptables -L -n -v

Код


Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
 1308  213K ACCEPT     all  --  eth1   *       0.0.0.0/0            0.0.0.0/0
   23  3233 ACCEPT     all  --  ppp0   *       0.0.0.0/0            0.0.0.0/0
 5368  518K ACCEPT     all  --  eth0   *       0.0.0.0/0            0.0.0.0/0
    0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABL           ISHED
    0     0 ACCEPT     tcp  --  *      *       192.168.1.2          0.0.0.0/0           tcp spt:1723
    0     0 ACCEPT     tcp  --  *      *       192.168.1.2          0.0.0.0/0           tcp spt:22
    0     0 ACCEPT     47   --  *      *       0.0.0.0/0            0.0.0.0/0

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            192.168.1.2         tcp dpt:1723
    0     0 ACCEPT     all  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0
   29  8949 ACCEPT     all  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0
 1163  157K ACCEPT     all  --  *      eth0    192.168.1.0/24       0.0.0.0/0
 1082  364K ACCEPT     all  --  eth0   *       0.0.0.0/0            192.168.1.0/24
    0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           ctstate RELATED,ESTA           BLISHED
    0     0 ACCEPT     all  --  eth1   *       192.168.0.239        0.0.0.0/0           ctstate NEW

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 ACCEPT     all  --  *      lo      0.0.0.0/0            0.0.0.0/0
  784  351K ACCEPT     all  --  *      eth1    0.0.0.0/0            0.0.0.0/0
    0     0 ACCEPT     all  --  *      ppp0    0.0.0.0/0            0.0.0.0/0
 5685  865K ACCEPT     all  --  *      eth0    0.0.0.0/0            0.0.0.0/0
    0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW,RELATED,ES           TABLISHED
    0     0 ACCEPT     tcp  --  *      *       192.168.1.2          0.0.0.0/0           tcp spt:1723
    0     0 ACCEPT     tcp  --  *      *       192.168.1.2          0.0.0.0/0           tcp spt:22
    0     0 ACCEPT     47   --  *      *       0.0.0.0/0            0.0.0.0/0

ip ro sh ta all

Код


192.168.1.0/24 dev eth1  proto kernel  scope link  src 192.168.1.2
192.168.0.0/24 dev eth0  proto kernel  scope link  src 192.168.0.239
default via 192.168.0.2 dev eth0
default via 192.168.1.1 dev eth1
broadcast 192.168.0.255 dev eth0  table local  proto kernel  scope link  src 192.168.0.239
local 192.168.0.239 dev eth0  table local  proto kernel  scope host  src 192.168.0.239
broadcast 192.168.1.0 dev eth1  table local  proto kernel  scope link  src 192.168.1.2
broadcast 127.255.255.255 dev lo  table local  proto kernel  scope link  src 127.0.0.1
local 192.168.1.2 dev eth1  table local  proto kernel  scope host  src 192.168.1.2
broadcast 192.168.0.0 dev eth0  table local  proto kernel  scope link  src 192.168.0.239
broadcast 192.168.1.255 dev eth1  table local  proto kernel  scope link  src 192.168.1.2
broadcast 127.0.0.0 dev lo  table local  proto kernel  scope link  src 127.0.0.1
local 127.0.0.1 dev lo  table local  proto kernel  scope host  src 127.0.0.1
local 127.0.0.0/8 dev lo  table local  proto kernel  scope host  src 127.0.0.1
fe80::/64 dev eth0  metric 256  mtu 1500 advmss 1440 hoplimit 4294967295
fe80::/64 dev eth1  metric 256  mtu 1500 advmss 1440 hoplimit 4294967295
unreachable default dev lo  table unspec  proto none  metric -1  error -101 hoplimit 255
local ::1 via :: dev lo  table local  proto none  metric 0  mtu 16436 advmss 16376 hoplimit 4294967295
local fe80::2e0:4cff:fe4d:1bd7 via :: dev lo  table local  proto none  metric 0  mtu 16436 advmss 16376 hoplimit 4294967295
local fe80::2e0:52ff:fe84:9747 via :: dev lo  table local  proto none  metric 0  mtu 16436 advmss 16376 hoplimit 4294967295
ff00::/8 dev eth0  table local  metric 256  mtu 1500 advmss 1440 hoplimit 4294967295
ff00::/8 dev eth1  table local  metric 256  mtu 1500 advmss 1440 hoplimit 4294967295
unreachable default dev lo  table unspec  proto none  metric -1  error -101 hoplimit 255

ZeeLax

Дата 15.2.2011, 12:00 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88

У вас правила iptables из первого поста и работающие сейчас не совпадают. Потом, все правила из таблицы filter можете убрать, чтобы занимали память - толку от них нет, т.к. они что-то разрешают, а глобальная политика выставлена в "разрешать всё".

Цитата(serioga911 @ 15.2.2011, 13:36

)

спустя 4-5 часов со стороны adsl доступ по VPN устанавливается

Не лень же было ждать. Что в логах VPN-сервера? Интересуют как отрицательные (до истечения 4-ч часов), так и положительные (после) попытки.

--------------------

Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson

serioga911

Дата 15.2.2011, 12:14 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 11
Регистрация: 14.2.2011

Репутация: нет
Всего: нет

Правила не совпадают т. к. я их меню и пытась добиться эффекта

Цитата

глобальная политика выставлена в "разрешать всё"

я надеялся так легче настраивать будет
поставить DROP или оставить так ?Если я поставлю глоб политику "запрещать все ", тогда правила в таблице filter чистить не надо что лучше сделать ?

По логам VPN чуть позже выложу

ZeeLax

Дата 15.2.2011, 13:03 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88

Лучше настраивать фаервол ПОСЛЕ того, как всё заработает. Когда научитесь представлять в голове пакеты, до и после обработки фаерволом - будете настраивать его сходу.

--------------------

Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson

serioga911

Дата 15.2.2011, 13:08 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 11
Регистрация: 14.2.2011

Репутация: нет
Всего: нет

логи по VPN
до подключения VPN

Код


server: cat /var/log/pptpd.log
Using interface ppp0
Connect: ppp0 <--> /dev/pts/1
Modem hangup
Connection terminated.

после подключения VPN

Код


Using interface ppp0
Connect: ppp0 <--> /dev/pts/1
MPPE 128-bit stateless compression enabled
found interface eth1 for proxy arp
local  IP address 192.168.1.2
remote IP address 192.168.1.100
Connect time 0.1 minutes.
Sent 0 bytes, received 22 bytes.
found interface eth1 for proxy arp
local  IP address 192.168.1.2
remote IP address 192.168.1.100

но при данном подключении интернета почему-то уже не было, возможно из-за того что я менял правила в iptables

Добавлено через 1 минуту и 8 секунд
если я отключаю фаервол, т. е. ставлю глоб политику ACCEPT, то VPN не работает никак

ZeeLax

Дата 15.2.2011, 13:14 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88

Цитата(serioga911 @ 15.2.2011, 16:08

)

если я отключаю фаервол, т. е. ставлю глоб политику ACCEPT, то VPN не работает никак

Что это значит? Команды какие? Отсюда не видно ваш монитор и клавиатуру.

--------------------

Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson

serioga911

Дата 15.2.2011, 13:24 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 11
Регистрация: 14.2.2011

Репутация: нет
Всего: нет

Код



server:~# iptables --list-rules
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT

вот iptables

Код


echo "1" > /proc/sys/net/ipv4/ip_forward

#echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter
#echo "1" > /proc/sys/net/ipv4/conf/all/proxy_arp
#echo "1" > /proc/sys/net/ipv4/ip_dynaddr

###########################################################################
itables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
# reset the default policies in the nat table.
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
# reset the default policies in the mangle table.
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P OUTPUT ACCEPT
# flush all the rules in the filter and nat tables.
iptables -F
iptables -t nat -F
iptables -t mangle -F
# erase all chains that's not default in filter and nat table.
iptables -X
iptables -t nat -X
iptables -t mangle -X
# Let's go
iptables -v -P INPUT ACCEPT
iptables -v -P OUTPUT ACCEPT
iptables -v -P FORWARD ACCEPT

или вы что то другое имеете ввиду ?

serioga911

Дата 15.2.2011, 16:17 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 11
Регистрация: 14.2.2011

Репутация: нет
Всего: нет

вопрос можно сказать решен проблемма в модеме т. к. из локалки впн подрубается и инет есть, вот только как пробросить gre протокол на Planet ADE4400 пока не разобрался

ZeeLax

Дата 15.2.2011, 19:01 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88

Создавайте новую тему, разберемся.

--------------------

Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson

serioga911

Дата 15.2.2011, 19:07 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 11
Регистрация: 14.2.2011

Репутация: нет
Всего: нет

ok спс

Добавлено через 3 минуты и 29 секунд
хотя еще вопрос ? может настроить модем в bridge тогда не надо пробрасовать порты, единственное волнует вопрос в правилах надо будет менять eth1 на ppp0 или нет ?

ZeeLax

Дата 15.2.2011, 19:30 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88

Ну раз сейчас есть ppp0, значит модем уже в бридже

--------------------

Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson

0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема \| *Администрирование NIX систем** \| Следующая тема »