Newsgroup: it.comp.os.linux.sys
Titolo: Attraversare Firewall Linux con Vpn/Ms

Salve a tutti.
Ho un piccolo problema e non so come risolverlo.
Allora questo è il problema.
Ho una rete di una ventina di client windows protetti da un firewall con 
su installato il suseFirewall2.
Il firewall ha 3 schede di rete una verso internet una verso l'interno 
della mia rete e una verso la DMZ.
Dovrei da un client windows2000 o xp creare una connession vpn (pptp)
con un server pptp posto presso un fornitore.(Sto pensando vivamente di
eliminare fisicamente quello che ha avuto sta bellissima e "sicurissima" 
idea).
Passando esternamente dal Firewall tutto funziona correttamente ma 
quando cerco di attraversarlo la macchina xp si blocca alla verifica 
delle password.
Ho cercato con google e non sembra che sia possibile, ho provato il 
pptproxy ma non funge.
Se qualcuno avesse un idea....un link un Howto ....sarei felicissimo
Ciao
Andrea

 wrote in
news:c4rmil$shl$
1...@newsreader.mailgate.org
: 

se la vpn è fatta con pptp, non ci dovrebbero essere grossi problemi.
io ho un pò di lan con firewall linux (uso debian) con iptables e non ho 
nessun tipo di problema a collegarmi dall'interno a vpn server su 
internet.
con le opportune redirezioni di porta lato server (la sola 1723) riesco a 
fare anche:
client<->lan<->fw<->internet<->fw<->lan<->vpn server
senza niente di particolare.
hai provato a fare qualche test lasciando libero il forwarding di tutto 
quello che esce dalla lan?
per quello che ho visto io, è sufficiente abilitare il forwarding di:
-p tcp --dport 1723 -d 0.0.0.0 -j ACCEPT
e ovviamente una regola per i related per far stabilire regolarmente le 
connessioni vpn pptp.
non serve nemmeno una regola specifica per il protocollo gre.
-- 
+-------
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
| (fake address in reply-to field!)
+-------

 senza niente di particolare.
Ma il client č Win ?????
Io non riesco a passare nemmeno se faccio un buco nel case con il trapano.
Riciao
Andrea

 wrote in
news:c4rqg3$2d7$
1...@newsreader.mailgate.org
: 

sia con client win98 che xp/2k o linux pptp.
prova a lasciare una semplice regola di forward per qualsiasi cosa arrivi 
dalla lan e una regola per i pacchetti related.
se non ti funziona nemmeno cosě, ricontrolla il kernel, che magari non ha 
tutto quello che serve.


 sia con client win98 che xp/2k o linux pptp.
Non è che per caso tu abbia  ip_conntrack_pptp, ip_nat_pptp sul tuo 
firewall???
Guardando sul buon vecchio Google sembra che siano necessari e io non li ho.
RiCiao
Andrea

 wrote in
news:c4rtq6$73b$
1...@newsreader.mailgate.org
: 

...
che mi risulti, non esistono...
almeno, sul mio sistema non ci sono.
questi sono i moduli iptables che ho caricati sul mio sistema di casa e 
che permettono il collegamento:
ipt_state
ipt_REDIRECT
ipt_LOG
ipt_limit
ip_nat_ftp
ip_conntrack_ftp
iptable_nat
ip_conntrack
iptable_filter
ip_tables
ip_gre
l'unica cosa che forse potrebbe influire, è ip_gre.
solo che anche se non lo carico funziona tutto.
ti ripeto, prova con un set di regole minimo e poi procedi per gradi, 
altrimenti non ne verrai mai a capo.


  
Grazie mille Paolo avevi perfettamente ragione.
Stavo sbagliando a mettere le regole del Firewall.
Ciao
Andrea

-p tcp --dport 1723 -d 0.0.0.0 -j ACCEPT
Devi abilitare il traffico sulla 1723 che è la porta di pptp , ma non
solo , devi anche abilitare il passaggio verso la macchina vpn del
protocollo 47 che è il protcollo di GRE !

car...@freemail.it
 (Aragorn77) wrote in news:ca9212f5.0404060011.6856327
@
posting.google.com
:

io non lo faccio e il tutto funziona ugualmente...
penso dipenda dal fatto che viene beccato dalle regole con related & 
established.
possibile?


 possibile?
RELATED , ESTABLISHED funziona se la macchina con iptables apre una
connessione ... non se ne fanno una nuova verso di lei !

 connessione ... non se ne fanno una nuova verso di lei !
Mica vero. Funziona con tutte le connessioni che hai permesso (hint: 
SYN) di stabilire
con apposite regole, in tutti i versi..
bye G.L.
-- 
- Renaissance, aka Gian Luca Sole -
Cit. « E' assolutamente evidente che l'arte del cinema
  si ispira alla vita, mentre la vita si ispira alla TV »
                                         (Woody Allen)

 connessione ... non se ne fanno una nuova verso di lei !
esattamente.
io dalla lan cerco di connettermi a un server vpn.
il gateway linux, riceve il mio pacchetto, lo maschera e lo inoltra verso 
la sua destinazione.
il gateway linux, ha aperto una connessione.
:-)


 :-)
vabbè era sottointeso ... io perchè c'ho in mette il mio utilizzo
ovvero il forward per i client del ufficio :))