gre (protekol 47) traffik igennem ipcop linux

ups, kommandoen var: ipfwd --masq 10.0.0.1 47 &

/chr

Hej chr.

det er ikke altid nok kun at acceptere gre når man skal tillade vpn igennem en firewall. Du skal også tillade port 1723.

Her er et udsnit fra mit iptables firewall script. Måske kan det hjælpe.

# VPN - enabled
$IPTABLES -t nat -A PREROUTING -p GRE -i $INET_IFACE -j DNAT --todestination
$DNS_IP
$IPTABLES -t nat -A PREROUTING -p TCP -i $INET_IFACE --dport 1723 -j DNAT --
to-destination $VPNSERVERIP
$IPTABLES -A FORWARD -p TCP -i $INET_IFACE -o $LAN_IFACE -d $DNS_IP \
--dport 1723 -j allowed
$IPTABLES -A FORWARD -p GRE -i $INET_IFACE -o $LAN_IFACE -d $DNS_IP \
-j ACCEPT

hej jsvinther,

Jeg har åbnet port 1723. Det glemte jeg at skrive, undskyld. Når jeg prøver at connecte vpn ind igennem firewallen til en ms pptp server bagved, når den til authentication, hvor den dør med en fejl: "the remote computer stopped responding" og så vidt jeg ved bruges protecol 47 til authentication.

Jeg har desuden brugt et PPTP ping tool, der både tester 1723 og protekol 47 traffik. Med dette værktøj har jeg fundet ud af indadgående protekol 47 traffik ikke kommer igennem, men port 1723 virker fint.

Men jeg vil lige prøve dit script, eller i hvertfald den del af det der har med gre at gøre.

jeg vender tilbage asap..

/Chr

har du prøvet på din linuxbox, at skrive tcpdump

den kan måske fortælle dig, hvad der er galt...

Jeg ved at der er nogle helt bestemte regler vedr vpn servere og ip masq...

ups... så lige en fejl i mit script.... der hvor det står $DNS_IP, skal der selvfølgelig stå $VPNSERVERIP...

den maskine du connecter fra? har den public ip, eller bliver den net´en fra maskine til public ip???? Når du PPTP så skal klienten have en public ip.
Hvad fejl nr. får du når du prøver???

hej igen...

det lader til at der er en bug i ipcoppen. Der er i hvertfald mange andre stakler der har samme problem som mig.

jsvinther>> jeg har prøvet med dit script, men jeg kan ikke få kommandoer der starter med iptables til at funge, hvis jeg f.eks skriver "IPTABLES -A FORWARD -p TCP -i $INET_IFACE -o $LAN_IFACE -d $DNS_IP \ --dport 1723 -j allowed" i terminalen, skriver den noget der minder om "unrecognized command".
Tror du man kan bruge samme kommandoer med ipchains istedet, det er vist nogenlunde det samme, så vidt jeg kan regne ud.

Jeg har desuden prøvet tcpdump der giver et hav af information, og når jeg filtrerer så den kun informerer om gre trafik vælter der informationer om ipadresse-mapninger og gre-trafik frem når man vpn'er ud af huset, men når jeg forsøger at vpn'e ind, sker der intet.

pallepirat>>jeg forstår ikke helt hvad du mener med: "eller bliver den net´en fra maskine til public ip????" Jeg har masser af gange sat netværk op med NAT, hvor alle klienter på det interne net er mappet til den samme public ip, hvor man godt kan vpn'e ud med pptp. Det er også sat op på den måde her, men virker altså ikke. Og når jeg prøver fra min mailserver som er mappet med sin egne public ip (1 til 1) virker det heller ikke.

Jeg kan ikke huske fejlnummer, men det er en std. windows fejl: "the remote computer stopped responding" så vidt jeg husker er det 721.


/Chr