Newsgroup: it.comp.os.linux.sys
Titolo: PPTP dietro firewall linux

Ciao.
Situazione: server linux con 10 client windows sotto di esso e 4 VPN 
PPTP da instaurare verso un unico IP di destinazione.
Problema: non funzionano (ovviamente). Ne va solo una (e sinceramente 
SOLO e SOLTANTO se la macchina da cui parte la connessione ha un IP ben 
preciso)
Iptables:
- accetta in ingrasso eventuali connessioni RELATED, ESTABLISHED 
(tramite -A FORWARD).
- niente restrizioni in uscita (tramite -A FORWARD)
Googolando ho letto che ci vuole il conntrack pptp e gre. (Ovviamente 
non ce l'ho!!!!)
C'è una remota possibilità di instaurare vpn multiple senza questo 
conntrack?
IP LAN Locale: 
10.0.0.0/24
IP LAN router-firewall: 
10.0.1.0/24
IP Client VPN: 192.168.0.100-105 (i client)
IP Server VPN: 192.168.0.3
Gli ip vpn vengono assegnati dal server VPN remoto (ha un ip pubblico) 
una volta instaurata la connessione e non ho modo di cambiarli/non me li 
cambiano.
Ciao.


http://www.mgix.com/pptpproxy/

 conntrack?
No.
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 
http://www.mgix.com/pptpproxy/
Ne ignoravo l'esistenza...vado a vedere.


 Ne ignoravo l'esistenza...vado a vedere.
per le connessioni multiple non saprei, ho fatto delle prove da un 
solo client ed ha funzionato molto bene, pero' mi e' piaciuto il fatto 
di riuscire, in seguito ad un controllo eseguito al ricevimento di una 
certa mail, di poter popolare, con il mio ip, il file che consente 
l'accesso senza scomodare il firewall. non sara' molto ma del resto 
neppure pptp e' il massimo, comunque aiuta.

> 
http://www.mgix.com/pptpproxy/
Davvero interessante, ma nel mio firewall minimale, non ho compilatori,
include e sorgenti del kernel quindi installare quel proxy è
pressochè impossibile.
le soluzioni sono 2:
1- installare sorgenti kernel+include+compilatori ed installare il
proxy
2- installare sorgenti kernel+include+compilatori e ricompilare il
kernel.
Dal momento che l'installazione di mezzo sistema è da fare ugualmente
in entrambe le soluzioni, quale potrebbe essere più conveniente?
Con il conntrak del pptp, basta attivare il modulo e iptables fa tutto
da se oppure bisogna specificare a mano chi e cosa deve essere
forwardato al server VPN remoto?
Sto cercando la soluzione piu facile perchè al momento le VPN hanno un
numero ben definito, ma a breve dovranno essere aumentate e non vorrei
dover metter mano nuovamente al server.
Per il conntrack FTP, basta attivare il modulo e iptables fa tutto da
se. Con il conntrack PPTP dovrebbe (e spero) essere uguale.


pptpproxy mi pare sia un solo eseguibile, lo compili nella tua 
macchina e lo metti sul firewall, basta fare una prova, non credo tu 
abbia bisogno di iptables e moduli del kernel, poi questo ti risolve 
il problema di avere connessioni multiple, iptables no a quanto ho 
capito. l'ho provato per curiosita' e mi era parsa un'ottima 
soluzione, ma sinceramente non ricordo altro mi spiace.

 sinceramente non ricordo altro mi spiace.
Credo di essermi espresso male.
Sulla macchina in questione, NON ho sorgenti del kernel, compilatori e 
include vari.
Quindi compilare una qualunque cosa è pressochè impossibile.
Installare pptpproxy significherebbe installare prima sorgenti, 
compilatori, include.
A quel punto potrebbe essere piu conveniente installare iptables. Per 
quale motivo usare un proxy per 'simulare' il conntrack di iptables 
quando il procedimento da fare per compilare iptables o pptpproxy è 
pressochè lo stesso.
Però: perchè dici che iptables con il conntrack non gestisce ugualmente 
connessioni multiple? a che serve il conntrack allora? una connessione 
singola iptables la gestisce anche senza conntrack (al momento la vpn 
funziona senza conntrack) [potrei anche abilitare il forward in ingresso 
proveniente dal server VPN remoto verso il singolo client interno]
Il problema di fondo è che *non posso/non voglio* cambiare alcuna 
impostazione della vpn sul client per evitare che gli ominidi che 
lavorano nella suddetta azienda, sia gli ominidi della VPN possano dare 
la colpa a me in quanto la configurazione è leggermente diversa dalla 
loro. (ad esempio prova a dire al tecnico telecom 187 che non ti 
funziona più la linea ADSL per *palesi* problemi sulla portante dopo che 
hai installato un nuovo antivirus e vedi a chi da la colpa)

 proveniente dal server VPN remoto verso il singolo client interno]
ho detto che cosi mi pare di aver capito, non ne sono assolutamente 
certo, qualche anno fa avevo provato ma senza successo sia ad 
attraversare il firewall linux con una sola connessione sia ad 
effettuare connessioni multiple sullo stesso firewall, in pratica 
potevo connettere due punti e far dialogare piu' macchine tramite una 
sola connessione ma niente di piu. avevo un kernel 2.4.18, poi visto 
che lo usavo solo io con client linux e server linux non sono andato 
oltre nel pormi domande e non ho mai pensato di patchare il kernel, 
anche perche' all'epoca avevo provato un firewall astaro e neppure con 
quello riuscivo a passare.
ultimamente volendo provare pptpproxy gia' che c'ero ho provato anche 
a collegarmi ad un server posto dietro il firewall linux usando 
iptables e la cosa, questa volta, ha funzionato tanto quanto usando il 
proxy (kernel 2.6.12.2). oltre non sono andato per cui non so che 
dirti, non ho la competenza di whiplash per azzardare teorie, 
semplicemente ho archiviato la faccenda con un "buono a sapersi".
pero' leggendo il manuale sul sito dell'autore mi e' parso di capire 
che il punto di forza di questo proxy potesse risiedere proprio nella 
facilita' con cui puo' gestire le connessioni multiple.
------
Because of this design, only one instance of pptpproxy can be run on a 
given machine at a given time, because if more were to be run, the 
packet-based path handler thread might receive packets with caller ids 
not registered in it's connection database, and would thus discard them.
The good nes is, this instance is perfectly capable of handling any 
number of simultaneous connections, so running two instances of 
pptpproxy should never be necessary.
-------
l'ultima versione e' di luglio 2005 e forse l'autore avrebbe lasciato 
cadere la cosa se nel frattempo avesse trovato agevole usare iptables 
per realizzare connessioni multiple, ma e' solo una mia illazione.
io ricordo di averlo compilato su una macchina, (perl ./make e strip 
pptproxy = 27k), poi l'eseguibile l'ho anche spedito e usato su 
un'altro firewall senza problemi. non ricordo di un'installazione, 
solamente un file che ho messo in /usr/local/sbin oltre ad essermi 
fatto qualche script di cui ora fatico a comprendere il significato.
per il client nessuna modifica , punta all'ip del provy che e' lo 
stesso del firewall. non mi pare vi fossero impostazioni da 
modificare. tuttavia nel caso il client sia linux c'e' in piu' la 
possibilita' di usare porte diverse da quella standard.
a me e' piaciuto e penso di utilizzarlo in futuro per situazioni 
particolari ma per ora non sono in grado di dirti altro.
ciao, Paolo

 possibilita' di usare porte diverse da quella standard.
E' proprio questo che non voglio fare.
In azienda (quella dove devo mettere il firewall) hanno VPN multiple
con piu gestori e vengono cambiate/modificate spesso. Installare un
proxy significherebbe che ad ogni modifica dovrei intervenire io per
riconfigurare pptpproxy con l'ip corretto.
Al momento ci sono 3 VPN, 2 pptp e 1 ignota che però funziona con una
sola porta quindi nessun problema.
Le 2 pptp sono utilizzate da circa 4 client ciascuna, ed entrambe
puntano a dei server VPN diversi, quindi sul firewall dovrei
configurare il proxy per 2 vpn. Il difficile è poi spiegarlo agli
utenti.
In caso di variazioni fatte dalla parte remota della VPN gli utenti non
sarebbero in grado di gestirsi da soli. (tipo: 'Tasto dx sull'icona,
proprietà, etc etc etc' con al telefono il 'sistemista' remoto).
Mi sembra molto strano, però, che il caro vecchio linux non sia in
grado di gestire in maniera trasparante questa VPN senza utilizzare
proxy.
A meno che non dirotto le chiamate uscenti verso un dato ip sulla
macchina firewall tramite iptables, una sorta di proxy trasparente, ma
anche in questo caso, ad ogni variazione di vpn segue una variazione di
firewall/iptables. E poi non so se pptpproxy sia in grado di gestire la
'trasparenza' come squid.
Non è un grandissima idea. finche il firewall è uno, ci può anche
stare questo lavoro 'manuale', ma se le installazioni (da piu clienti)
di questo firewall dovessero aumentare ti immagini che casino gestire
le VPN di tutti?!

 facilita' con cui puo' gestire le connessioni multiple.
E' davvero un ottimo prodotto, l'ho guardato proprio ora.
Ha un solo problema che non lo rende utilizzabile da me:
per gestire piu server remoti VPN ci sono 2 possibilità:
1- eseguire pptpproxy con porte differenti e server differenti (porta
1234 punta su 1.2.3.4 porta 4567 punta su 5.6.7.8 etc etc)
2- eseguire pptpproxy su più ip (ip 1.2.3.10 punta su un server, ip
1.2.3.20 punta su un altro server) e configurare tanti ip come alias
quante sono le connessioni
Verrebbe fuori veramente un casino.
Se per ogni VPN devo mettere in alias un nuovo ip verrebbe fuori un bel
casino.
E ovviamente windows non fa cambiare l'ip della VPN in PPTP.
Dannazione!!!