Newsgroup: it.comp.os.linux.sys
Titolo: iptables & VPN

Ho il problema di consentire ad un client Windows XP l'accesso ad una VPN
remota. Il client Windows XP ha accesso ad internet tramite la mia
macchina linux connessa tramite ADSL. La connessione è condivisa con
IPTABLES.
La questione è questa: con il computer Windows XP riesco a connettermi
senza problemi alla VPN ma non riesco a vedere nessuna delle risorse della
rete virtuale (infatti non riesco a pingare il server vpn...).
Ho pensato che ci saranno sicuramente delle impostazioni per IPTABLES per
consentire il trasferimento di questo tipo di traffico... ho cercato in
rete e ho trovato qualcosa su una porta 1723, una 500 e 50 e 51 ho provato
un po' tutto ma senza alcun risultato.
Potete aiutarmi?? Che istruzioni devo dare ad IPTABLES per permettere alla
macchina WindowsXP di accedere alla VPN ??
Grazie
Pietro

 
se per la vpn usi il pptp, devi caricare anche il modulo ip_gre e 
permettere il passaggio dei pacchetti con protocollo=47
-- 
+-------
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
| (fake address in reply-to field!)
+-------

 permettere il passaggio dei pacchetti con protocollo=47
Purtroppo sono ignorante in materia e non so cosa sia questo pptp!! Se tu
potessi spiegarmelo e magari fornirmi nel dettaglio i comandi che devo
dare a iptables ti sarei molto molto grato!!
ciao e grazie!
Pietro

sicuramente avrai fatto uno scripettino contenente tutte le regole di 
iptables. Se hai definito qualche catena tipo di INPUT OUTPUT FORWARD, 
alla fine delle regole di ogni catena inserisci un:
iptables -A nomecatena -j LOG poi in consolle fai un tail 
/var/log/messages  poi prova ad utilizzare la tua VPN su Xp, e vedi cosa 
transita sulla consolle fra i log, sicuramente ci sarà qualche regola 
che blocca qualcosa, vedi da consolle su quali porte e verso quali porte 
vengono fatte le richieste per la VPN poi provvedi a sbloccarle
Ciao


un po' tutto ma senza alcun risultato.
Allora, dipende da che protocollo vuoi/devi usare per effettuare la
vpn con windows XP.
Se usi PPTP devi permettere il traffico dalla macchina windows XP alla
macchina destinazione sulla porta 1723 TCP e sul protocollo 47 col
modulo ip_gre.
Se invece usi L2TP/Ipsec, questo normalmente non funziona se passa
attraverso un Nat dato che i pacchetti vengono alterati.
MS ha reso disponibile un aggiornamento per windows xp e 2000 che
invece ne rende possibile l'uso anche i presenza di Nat ma il server
dall'altra parte deve essere un windows 2003.
http://support.microsoft.com/default.aspx?scid=kb;en-us;818043&Product=win2000
Ciao
-- 
Francesco

 
è un modulo, non un comando di iptables...
modprobe ip_gre
forse, ti conviene spostarti su icol.iniziare e seguire qualcuno dei 
tutorial che trovi in rete sulla cfg di iptables & co...


 
Allora:
- XP è configurato creando una nuova connessione VPN, dopodichè ho
impostato "Crittografia facoltativa" e ho attivato il protocollo PAP come
richiesto dalle istruzioni datemi dal tecnico di mio padre.
- Windows XP si connette sembra senza nessun problema alla rete remota fin
dalla prima volta che ho impostato la connessione.
- Oggi ho aggiunto questi comandi al mio script iptables:
/sbin/iptables -A INPUT -i eth0 -p tcp --dport 1723 -j ACCEPT
/sbin/iptables -A OUTPUT -o eth0 -p tcp --dport 1723 -j ACCEPT
/sbin/iptables -A INPUT -i eth0 -p 47 -j ACCEPT
/sbin/iptables -A OUTPUT -o eth0 -p 47 -j ACCEPT
- Ora dal computer con WinXP riesco a pingare con successo tutti i
computer accesi della rete remota, AD ECCEZIONE del server (proprio dove
stanno i dati che servono) e non capisco perchè.
- Riesco a pingare tutti i pc accesi ma non riesco a visualizzare le
risorse condivise di nessuno di questi (per farlo digito \\192.168.1... a
seconda della macchina da raggiungere dalla finestra Esegui di WINXP).
Infatti dopo un po' di secondi mi si apre una simpatica finestrella che mi
dice che la risorsa è irraggiungibile.
- Non posso ancora darti molte informazioni sul server/router remoto
poichè mio padre (si tratta del suo ufficio) mi ha parlato solo di una
"net-box". Martedì forse parlerò con il rappresentante della ditta che gli
ha installato il tutto...
- Non ho ben capito l'utilizzo pratico di quel modulo ip_gre di cui mi hai
parlato: ho capito che dovrebbe servirmi per il protocollo 47... ma non
bastano i comandi che ho dato con iptables? (ho cmq caricato con modprobe
il modulo... anche se non so andare oltre...)
Spero tu voglia e possa aiutarmi ancora! E come te chiunque sia così
gentile da darmi una mano!

 gentile da darmi una mano!
partendo dal presupposto che tu abbia tutte le catene con default in 
drop, aggiungi queste regole in fondo al tuo script:
iptables -A INPUT -j LOG --log-prefix "INPUT-> "
iptables -A OUTPUT -j LOG --log-prefix "OUTPUT-> "
iptables -A FORWARD -j LOG --log-prefix "FORWARD-> "
e poi controlla nei log del firewall cosa ti salta fuori quando connetti 
la vpn.
in base ai pacchetti che ti verranno scartati, potrai poi cambiare le tue 
regole.
imho, ti conviene comunque leggerti qualche howto su iptables, altrimenti 
continuerai a muoverti alla cieca...


dice che la risorsa č irraggiungibile.
Traffico netbios filtrato sulla tua macchina o sul firewall remoto?
Oppure se le macchine in remoto sono in dominio il fatto che il server
non sia raggiungibile potrebbe essere un problema.
Risolvi prima quello poi controlla di avere wins e dns correttamente
configurati sulla conessione vpn.
Ciao
-- 
Francesco

 rete virtuale (infatti non riesco a pingare il server vpn...). [cut]
Connessione pptp attraverso un nat? ahiahiahihiahi.
Ti serve il modulo apposito per il conntracking che e` in patch-o-matic.
Intanto 
http://iptables-tutorial.frozentux.net/
 che fa sempre molto bene.