BSDPORTAL.RU

Итак, есть сервер на FreeBSD, на который подключаются по ППТП, его адрес- 192.168.0.20. Появились юзеры, сидящие в другой сети 192.168.3.0/24. Между ними и этим сервером стоит комп тоже с FreeBSD, который работает как роутер. Т.е. одной сетевой картой с адресом 192.168.3.9 он смотрит в сторону сети 192.168.3.0.24, а другой- с адресом 192.168.0.9 - в сторону сервера. Мне нужно, чтобы эти юзеры подключались по пптп к 192.168.3.9(т.е. у них именно этот адрес был прописан в поле "IP- адрес назначения"), а подключались в итоге к серверу. Я настроил проброс портов на 192.168.0.9, подключение начинает устанавливаться, но зависает на проверке пользователя/пароля и потом отваливается по таймауту. Получается, что вроде как GRE не проходит? telnet 192.168.0.20 1723 - проходит..
rdr pass log on $ext_if proto { tcp udp } from any to $ext_ip port 1723 -> 192.168.0.20 port 1723
rdr pass log on $ext_if proto gre from any to $ext_ip -> 192.168.0.20

А что говорит tcpdump на внутреннем интерфейсе роутера: gre-пакеты там видны?

_________________
"Винда съела дрова и резет здесь не фурычит"
"Все говорят, что у меня /dev/hands кривой и я всё делаю через /dev/ass. А у меня этих файлов вообще нет!"

Судя по тому, что выдает tcpdump, сервер шлет gre- пакеты юзеру, а тот молчит. При этом, если посмотреть на внешнем интерфейсе роутера, то мы видим отправку gre-пакетов от юзера на внешний интерфейс роутера: "IP 192.168.3.100 > 192.168.3.9: GREv1, call 52828, seq 10, length 36: LCP, Conf-Request (0x01), id 1, length 22"
Т.е. сервер шлет пакеты на адрес юзера и он их получает, а юзер серверу шлет пакеты на адрес роутера и сервер эти пакеты не получает.

То есть нет ответных пакетов от 192.168.3.100 на 192.168.0.20.

Посмотрите, возможно ответные пакеты уходят не через тот интерфейс или закрыто файерволом.

_________________
"Винда съела дрова и резет здесь не фурычит"
"Все говорят, что у меня /dev/hands кривой и я всё делаю через /dev/ass. А у меня этих файлов вообще нет!"

Насколько я разбираюсь в пптп, получается так: 192.168.3.100 устанавливает связь с 192.168.3.9(это роутер). На роутере проброшены порт 1723 и gre- трафик на сервер 192.168.0.20, т.е. фактически соединение устанавливается с ним. Инициатор соединения отправляет запрос через порт 1723, он перекидывается на 0.20(за это отвечает строка rdr on $ext_if proto { tcp udp } from any to $ext_ip port 1723 -> 192.168.0.20 port 1723), тот его принимает, соединение установлено. Теперь 0.20 шлет инициатору(т.е. 3.100) gre- пакеты, инициатор их получает. После этого инициатор(3.100) шлет ответные пакеты, но шлет их на 3.9, потому что он изначально соединялся с ним. Теперь 3.9 должен перекинуть эти пакеты на 0.20, но почему-то это не делает, хотя в конфиге есть строка rdr on $ext_if proto gre from any to $ext_ip -> 192.168.0.20. Осталось понять- почему он не перекидывает..

Не понимаю схему прохождения пакетов. Вы могли бы нарисовать картинкой полный путь подключения?

_________________
"Винда съела дрова и резет здесь не фурычит"
"Все говорят, что у меня /dev/hands кривой и я всё делаю через /dev/ass. А у меня этих файлов вообще нет!"

теперь ясно. если нет ответных пакетов - смотрите на стороне роутера: почему он их не отправляет.

_________________
"Винда съела дрова и резет здесь не фурычит"
"Все говорят, что у меня /dev/hands кривой и я всё делаю через /dev/ass. А у меня этих файлов вообще нет!"

Смотрим на роутере на интерфейсе, который смотрит на юзера:
14:44:25.708055 IP 192.168.0.20 > 192.168.3.100: GREv1, call 1, seq 0, length 54: LCP, Conf-Request (0x01), id 1, length 40
14:44:25.713989 IP 192.168.3.100 > 192.168.3.9: GREv1, call 52843, seq 1, length 36: LCP, Conf-Request (0x01), id 1, length 22

Т.е. не перебрасывается GRE от юзера на сервер. Т.е. юзер кидает gre на адрес роутера, а тот, вместо того, чтобы перекинуть его на сервер- ничего не делает.
Куда копать?

На 192.168.3.100 ответные пакеты видны? Если нет, то блокирует их 192.168.3.9

_________________
"Винда съела дрова и резет здесь не фурычит"
"Все говорят, что у меня /dev/hands кривой и я всё делаю через /dev/ass. А у меня этих файлов вообще нет!"

1. На 3.100 пакеты от сервера приходят, их видно на роутере на том интерфейсе, который смотрит на 3.100 : "IP 192.168.0.20 > 192.168.3.100: GREv1, call 1, seq 0 "
2. Потом этот 3.100 шлет ответный пакет- его тоже видно на этом интерфейсе: "IP 192.168.3.100 > 192.168.3.9: GREv1, call 52843, seq 1"

А вот "с другой стороны" роутера- на интерфейсе, который смотрит на сервер- этих пакетов нет. Т.е. GRE- пакеты не перекидываются роутером с одного на другой интерфейс. Есть мысли- почему он это не делает?

Да, я их высказал в посте выше

viewtopic.php?f=13&t=29156&p=179136#p179128

_________________
"Винда съела дрова и резет здесь не фурычит"
"Все говорят, что у меня /dev/hands кривой и я всё делаю через /dev/ass. А у меня этих файлов вообще нет!"

"Посмотрите, возможно ответные пакеты уходят не через тот интерфейс"- у него только 2 интерфейса- на один пакеты приходят, на другом должны появиться- т.е. других интерфейсов нет.
" или закрыто файерволом." - в rc.conf есть строка firewall_enable="NO" - т.е. файервол выключен.

нужно смотреть не настройки rc.conf, а текущие правила файрвола:

если используется ipfw, или

если используется pf.

_________________
"Винда съела дрова и резет здесь не фурычит"
"Все говорят, что у меня /dev/hands кривой и я всё делаю через /dev/ass. А у меня этих файлов вообще нет!"

# 1. redirect pptp port
rdr on $ext_if proto tcp from any to any port 1723 -> $ip_internal_server port 1723

# 2. redirect gre traffic
rdr on $ext_if proto gre from any to any -> $ip_internal_server

# pass all the gre traffic
pass quick proto gre all

# pass traffic in port 1723
pass in quick on $ext_if from any to any port 1723 keep state
pass out quick all keep state

не?

что "не"?
У вас выше могут быть запрещающие правила, которые могут блокировать ваши 1,2. Правила файрвола нужно смотреть те, которые загружены, то есть через команду pfctl -sr. В идеале, можно посмотреть счётчики срабатывания правил через
.
Тогда точно будет видно, срабатывают ли они.

_________________
"Винда съела дрова и резет здесь не фурычит"
"Все говорят, что у меня /dev/hands кривой и я всё делаю через /dev/ass. А у меня этих файлов вообще нет!"

меня не интересует набор правил который наваял топикастер ДО...

вот и пусть смотрит

/etc# pfctl -sr -v
No ALTQ support in kernel
ALTQ related functions disabled
pass quick proto gre all keep state
[ Evaluations: 26298 Packets: 0 Bytes: 0 States: 0 ]
[ Inserted: uid 0 pid 7202 ]
pass in quick on sk1 proto tcp from any to any port = pptp flags S/SA keep state
[ Evaluations: 26298 Packets: 120 Bytes: 11760 States: 3 ]
[ Inserted: uid 0 pid 7202 ]
pass in quick on sk1 proto udp from any to any port = 1723 keep state
[ Evaluations: 388 Packets: 0 Bytes: 0 States: 0 ]
[ Inserted: uid 0 pid 7202 ]
pass out quick all flags S/SA keep state
[ Evaluations: 26290 Packets: 21645 Bytes: 13191405 States: 243 ]
[ Inserted: uid 0 pid 7202 ]
drouter-n: /etc#


А вообще, вот ВЕСЬ конфиг:
ext_if="sk1"
ext_ip="192.168.3.9"
rdr on $ext_if proto { tcp udp } from any to any port 1723 -> 192.168.0.20 port 1723
rdr pass on $ext_if proto gre from any to $ext_ip -> 192.168.0.20
pass quick proto gre all
pass in quick on $ext_if proto { tcp udp } from any to any port 1723 keep state
pass out quick all keep state

На интерфейсе ext_ip="192.168.3.9" винды ответные пакеты?

_________________
"Винда съела дрова и резет здесь не фурычит"
"Все говорят, что у меня /dev/hands кривой и я всё делаю через /dev/ass. А у меня этих файлов вообще нет!"

Этот интерфейс смотрит на юзера. Вот что мы на нем видим:
1. "IP 192.168.0.20 > 192.168.3.100: GREv1, call 1, seq 0 " - это шлет сервер юзеру
2. "IP 192.168.3.100 > 192.168.3.9: GREv1, call 52843, seq 1" - это ответ, который шлет юзер серверу
Т.е. юзер шлет пакет на интерфейс ext_ip="192.168.3.9", откуда роутер должен перекинуть пакет на интерфейс, который смотрит на сервер.