Newsgroup: it.comp.os.linux.sys
Titolo: nattare molti client pptp

Salve ,
L'oggetto è abbastanza chiaro , vorrei sapere se sia possibile nattare
più client pptp verso un unico server .
Da che posso leggere in giro la cosa non è possibile , ma magari
qualcuno può confermare o meno la mia ipotesi .
Ecco la situazione .
2 client in LAN che devono collegarsi tramite PPTP ad un host remoto ,
tutti e 2 i client sono nattati con lo stesso indirizzo .
Provando a nattarli su routers differenti la cosa funziona , ma se
provo a nattare i client sullo stesso apparato ( anche con IP
diversi ) il sistema mi manda a casa .
Essendoci di mezzo in tunnel di tipo GRE , ipotizzo che non si possa
fare molto .
saluti


wrote:

Il tuo problema sono le connessioni di ritorno dal server verso i
diversi client.
Non so cosa usi come client, ma tutti i client p2p hanno la
possibilità di configurare le proprie "incoming port" dovresti
cambiare l'impostazione di default ad uno dei due e poi configurare
adeguatamente il forwarding delle porte dal router verso gli ip reali
interni.
Non so se mi sono spiegato.

 diversi client.
Il tuo problema è che rispondi senza leggere i post, invece.


 *
 * Development of this code funded by Astaro AG (
http://www.astaro.com/
)
 *

 diversi ) il sistema mi manda a casa .
Secondo me si deve usare una FWmark.
Dalla rete dove esistono i due client apponai un mark al pacchetto in 
uscita, di un client ed un secondo mark all'altro.
Sul firewall stesso, poi, definisc la regola che se il mark 1 � 
matchato, butta tutto su cliente 1 o cliente 2.
Io cosi ho fatto funzionare altre cose con LVM, ma in linea teorica � 
quello che ti serve.
Ciao

 butta tutto su cliente 1 o cliente 2.
Non sono molto sicuro di aver capito bene cosa intendi, ma sono
abbastanza  sicuro che non puo' funzionare :-)
Fabio

 abbastanza  sicuro che non puo' funzionare :-)
Riproviamo.
iptables mette un mark1 a tutti i pacchetti in uscita da CLIENT1 --> 
SERVER PPTP
iptables mette un mark2 a tutti i pacchetti in uscita da CLIENT2 -->
server PPTP
In generale si potrebbe mettere un mark a tutti i pacchetti di qualisasi 
tipo, qualsiasi protocollo, solo scenglino la sorgente CLIENT1 e CLIENT2.
QUando il server risponde con un ACK il mark rimane, ed al passaggio sul 
firewall la regoal opposta farï¿œ in modo che da 0/0 verso firewal con 
mark1 vada a client1 e da 0/0 verso firewall con mark2 a client2.
Io non so se riesco a spiegarmi bene, ma sono abbastanza sicuro che PUO' 
funzionare, perhcï¿œ tolo la problematica PPTP, con altri servizi FUNZIONA 
giï¿œ cosi.....

 vada a client1 e da 0/0 verso firewall con mark2 a client2.
Riproviamo :-)
Ci sono due problemi, con pptp:
1) una parte della comunicazione tra i due endpoint e' basata su GRE, 
un
   protocollo ip che non ha meccanismi di multiplexing quali le 
"porte";
   quindi, a livello 3 e 4, non puoi sapere, nel caso in esame, a chi 
e'
   destinato, o a quale "sessione" appartiene, il pacchetto GRE 
entrante
   proveniente dal server;
2) il server pptp accetta *una* sola connessione di controllo per 
client
   (leggi ip); la sessione di controllo viene stabilita su tcp, quindi 
i
   normali meccanismi del nat di netfilter, mascherando due client 
pptp,
   mostrerebbero al server pptp due sessioni di controllo provenienti 
da
   un solo ip e da due porte sorgenti diverse; ancora peggio, il 
server,
   vedendo arrivare una seconda sessione dallo stesso ip tira giu' 
anche
   la prima, se non ricordo male.
L'unica soluzione e' usare l'helper citato da whiplash, che capisce 
GRE,
smaneggia le sessioni di controllo e permette di continuare a usare 
'sto
obbrobbrio di protocollo nel 2010 e passa.
Fabio

 Io non so se riesco a spiegarmi bene
Quel che è certo è che non hai idea di cosa stai parlando.

 Riproviamo
Auguri. <g>

 Quel che è certo è che non hai idea di cosa stai parlando.
Come dite voi.
Saluti

 Come dite voi.
Certo.
La vuoi sapere tutta?
A prescindere dal fatto che hai lievemente trascurato il fatto che
pptp utilizza GRE, a valle dell'autenticazione, tu stai affermando 
che, anche per una sessione TCP, senza quel marking, il firewall 
non saprebbe a chi indirizzare un ACK proveniente dal server.
Beh, esiste una cosuccia chiamata conntracking, in netfilter, che fa proprio
quel mestiere, ovvero tener traccia delle connessioni.
Se vuoi un esempio sensato e pratico dell'utilizzo del marking di 
netfilter nella tabella mangle, non hai che da chiedere...

 obbrobbrio di protocollo nel 2010 e passa.
Anche a me non piace, ma devo dire che l'ho trovato utile in almeno 
un'occasione:
un cliente aveva una sede remota in Spagna, con 3/4 postazioni che 
dovevano accedere a un gestionale nella sede centrale.
Fino a 7/8 mesi c'era un tunnel IPSEC fatto da 2 Cisco ASA. 
Improvvisamente in seguito a un cambio di provider, il tunnel ha smesso 
di funzionare e non c'è stato verso di farlo ripartire (sembrerebbe che 
il provider faccia un paio di NAT, ma non s'è capito, perchè il loro 
tecnico non parla inglese). Dopo tante peripezie ho risolto (a 
malincuore) usando PPTP e non ho avuto più problemi.
-- 
"Le opinioni dei fanatici prescindono dai fatti"
python -c "print 'bG9ybWF5bmFAZ21haWwuY29t'.decode('base64')"
Linux Registered User: 461615

 netfilter nella tabella mangle, non hai che da chiedere...
Ti ringrazio.
Saluti.

 Ti ringrazio.
Prego, dovere.