Newsgroup: it.comp.os.linux.sys
Titolo: PPTP + firewall [Parte 2]

Rieccomi.
Adesso ho il firewall in sede, così posso fare tutte le prove
possibili ed immaginabili.
Inoltre sono riuscito ad avere qualche informazione in più sul server
VPN remoto (in giornata dovrebbe chiamarmi l'amministratore del
suddetto server).
Per il momento ho capito che è un server linux. e gestisce circa 100
VPN PPTP.
La VPN assegna al client windows un indirizzo IP locale 192.168.0.X in
base al nome utente di collegamento (esempio: utente 'pippo' assegna IP
192.168.0.100, utente 'tizio' assegna .110 e così via).
Ma non è che il problema sta nell'utilizzo della stessa porta 1723 (mi
pare) da parte di 4 client in simultanea? e quindi iptables si impalla
in quanto non sa più a chi fare il forward della risposta proveniente
dal server remoto.
Ho provato a patchare iptables con pptp_conntrack ma:
1- non so se è stato patchato correttamente (mi dice che non trova
'ladd' nel makefile) ma dopo aver forzato la patch, ho ricompilato il
kernel con il supporto pptp e gre e apparentemente nessun errore.
2- sinceramente non so se è stato compilato il pptp, dato che in fase
di make bzImage non vedo riferimenti a pptp_conntrack ma nemmeno
errori.
3- i passaggi 1 e 2 sono stati fatti in fretta. nel pomeriggio proverò
a sistemare tutto.
Aspettando la chiamata del tecnico, se qualcuno ha qualche idea mi
faccia sapere per favore perchè non so come uscirne.
P.S: ho letto che poptop non è in grado di gestire VPN multiple
provenienti dallo stesso IP. Allora che server stanno usando questi
qui? E soprattutto, come si può risolvere sta cosa se con poptop non
posso usare pptpproxy o simili (4 connessioni tutte dallo stesso ip).
[l'ho letto sul sito di pptpproxy che poptop non è in grado di gestire
connessioni multiple, non me lo sono inventato]

 connessioni multiple, non me lo sono inventato]
si ho letto anch'io, ma qui dice che di norma il server poptop puo' 
gestire 256 connessioni ed eventualmente oltre.
http://poptop.sourceforge.net/dox/qna.html#9
dal 2001 sono passato a linux ma prima con dei modesti zywall e NT non 
ricordo di aver mai avuto problemi con pptp. forse adesso sarebbe meno 
difficile convincerli ad usare openvpn che non risolvere tutta questa 
serie di interrogativi. oppure anche considerare qualcosa come 
fortinet che fa da server anche per pptp e offre inoltre dei comodi 
client windows per ipsec.
be' capisco che questa sia una risposta del tutto inutile. posso solo 
offrirti solidarieta' sarei comunque curioso di sapere come e se 
risolverai questo rompicapo.

 risolverai questo rompicapo.
Risolvere? Secondo te riesco a risolverlo?
Cmq. ho dei problemi a compilare pptp conntrack per iptables....

> ma un kernel 2.6.15,x non ha gia' tutto quanto occorre per pptp?
Ma lo sai che potrebbe bastare fare il porting a 2.6.15?
da quanto leggo dal .15 è già incluso il supporto al conntrack pptp.


non solo, c'e' anche PPP MPPE compression (encryption) che sicuramente 
serve, leggo pero' in:
/usr/src/linux/net/ipv4/netfilter/ip_conntrack_helper_pptp.c
-
- We can only support one single call within each session
-
e questa cosa parte dal firewall astaro che gia' nelle sue prime 
versioni aveva un ottimo pptp, ma non si lasciava attraversare e non 
mi pare permettesse piu' di una connessione alla volta proveniente 
dallo stesso ip. l'ho usato per un po' e di prove ne avevo fatte, poi 
mi sono arreso.

 
se usi come client quello di win xp ti confermo che col mio 2.6.14.5 ho 
abilitato ip_nat_pptp e ip_conntrack_pptp e mi collego ad un mio router 
senza problemi (senza questi moduli lo potevo fare solo direttamente dal 
firewall).
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Lo sai come si chiamano gli abitanti di Santa Giusta?
Gavino Marroccu, Anna Pirastu, Bachisio Mureddu...
		-- Lucio Salis


Ciao,
   stavo leggendo il tuo 3d ma sinceramente mi sfugge il problema.
Da quanto ho capito non sei tu che devi fare da server bensi devi fare da
client giusto?
Se devi fare da client che senso ha far partire connessioni simultanee da
più host della tua rete? non sarebbe più comodo far fare la connessione dal
server e rigirare i pacchetti verso i client ? in questo modo tutti i client
sono collegati simultaneamente ed in pratica è come se avessi a disposizione
una lan-to-lan . Per fare questo ti basta installare pptp-command e
configurare il tunnel tanto + che il server ti assegna un ip fisso quindi
non hai nemmeno problemi con le tabelle di routing che ogni tanto si
incasina con l'opzione DEV_TUNNEL, oppure sul sito di pptp c'è anche un
client grafico ma non l'ho mai usato.
Se devi fare tu da server continuo a non capire bene il problema, lo uso
tranquillamente dalla 2.4.19 e anche li non mi sono capitati problemi....
Spero di esserti stato utile, in caso se non avessi capito una cippa di
quello che chiedi scusate per il post inutile.
Matteo
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 client grafico ma non l'ho mai usato.
No, non devo fare da client.
Devo fare da firewall.
Allora:
1 server VPN remoto con 1 IP
4 client locali WIndows XP Pro che connettono simultaneamente tutti
allo stesso server VPN sullo stesso IP.
Ai client locali viene assegnato un IP (locale) in base al utente con
cui si autenticano sul server VPN.
Non chiedetemi il perchè di sto casino perchè è sempre stato così e
così deve rimanere (la rete non l'ho fatta io purtroppo).
Il problema è che non riesco a far partire piu connessioni
simultaneamente.

 
scusa, saro' scemo ma ancora non ho capito lo schema.
cio' che forse mi e' chiaro e' che il server sia remoto, ma remoto per 
tutti quanti i possibili client? immagino di si.
diciamo che il server pptp sia posto nella sede B
e che i client siano nella sede A
nel caso tutti i client abbiano un ip fisso
se metti un proxy nella sede A ed uno nella sede B dovrebbe funzionare.
pptproxy.conf sede A
192.168.0.100:1723
 ip_proxy_sede_B:1800
192.168.0.101:1723
 ip_proxy_sede_B:1801
pptproxy.conf sede B
ip_sede_A:1800 ip_pptpd_sede_B:1723
ip_sede_A:1801 ip_pptpd_sede_B:1723
poi dove installi il proxy attivi pure il firewall che si limita a 
consentire o meno il traffico senza intervenire sul nat.
se poi vi fossero dei client esterni sia ad A che B in tal caso il 
firewall dovrebbe fare un redirect su una porta arbitraria verso il 
proxy installato sulla stessa macchina discriminando in base all'ip 
del client, per cui il giochino funzionerebbe comunque, sia che che 
gli esterni chiamassero A o B
l'unico prerequisito e' che eventuali client esterni  dispongano di un 
ip statico, diversamente forse si puo' fare ugualmente intercettanto 
l'ip chiamante e modificando al volo iptables[*] grazie al fatto che 
pptpproxy puo' lanciare uno o piu' batch/programmi prima di accettare 
la connessione, si puo' popolare il file delle acl a costo di un 
minimo ritardo nell'instaurare la connessione.
in nessun caso si renderebbero necessarie modifiche lato client e lato 
server, pero' si fa con due macchine invece che una.
*) 
http://www.pettingers.org/code/sshblack.html
 come spunto.


ma il firewall che usi è linux o un prodotto stand alone?
Se è linux gli fai fare sia da client che da firewall non vedo la
convenienza di lanciare quattro VPN distinte da quattro client distinti
quando tutti e 4 i client sono nella stessa rete locale e verosimilmente
devono accedere alla stessa risorsa remota (immagino connettersi con l'as400
in emulazione)
In questo modo hai un singolo punto di uscita verso la VPN e ti semplifichi
enormemente la vita...



Ok per il server VPN in sede B, client + firewall in sede A.
Precisazione: nella sede B non posso andare, non posso accedere al
server e non posso fare alcun cambiamento di nessun tipo (in pratica,
non è roba mia/gestita da me ma da una azienda X alquanto
indisponente).
Premessa: non ho la minima idea di come funziona una vpn PPTP
Situazione SENZA FIREWALL:
client 1: ip: 10.0.0.1 - user pptp: utente01
client 2: ip: 10.0.0.2 - user pptp: utente02
client 3: ip: 10.0.0.3 - user pptp: utente03
router: ip: 10.0.0.254
(gli ip sono locale della mia rete lan, non sono quelli assegnati dalla
vpn)
su ogni client (sono client windows) è configurata una connessione
PPTP che punta al server nella sede B.
DOPO l'autenticazione, il server VPN assegna un indirizzo ip distinto
ad ogni client.
192.168.0.1
192.168.0.2
192.168.0.3
ai gestori del server in sede B serve esattamente così e loro non
cambiano le porte, non installano proxy non fanno assolutamente nulla
oltre al darmi il nome utente per i 3 collegamenti.
Dal lato client ho notato che windows non permette di fare il cambio di
porta.
Inoltre, installare il proxy significherebbe cambiare l'ip del server
remoto su ogni client. (cosa non possibile, l'installazione del
firewall DEVE essere del tutto trasparente sia lato client sia lato
server in sede B)
Domani proverò con il conntrack pptp.

 Domani proverň con il conntrack pptp.
credevo lo avessi gia' fatto senza successo,
be' auguri e scusa se ho tirato un po' a indovinare  :-(

 > Domani proverò con il conntrack pptp.
Ho appena testato e *sembrerebbe* funzionare....
Ho stabilito 2 connessioni VPN simultanee con 2 utenti distinti e gli
sono stati assegnati (correttamente) 2 ip locali. In più mi han detto
che da remoto riescono a pingare l'ip locale dei 2 client (l'ip della
vpn ovviamente).
A prima vista funziona tutto. Ovviamente non ho avuto modo di provare
l'accesso con l'AS400 ma credo che quello non dia problemi (una volta
stabilita la connessione dovrebbe essere a posto)

 stabilita la connessione dovrebbe essere a posto)
felicitazioni, credo proprio che a questo punto problemi da parte 
dell'AS siano del tutto improbabili, quando sei sul server pptp sei 
assolutamente in locale.
di sicuro pptp ormai e' tramontato pero' dopo tanto penare non ti 
conviene fare anche un test con pptp-proxy giusto perche' non si sa 
mai? in effetti io avevo fatto esattamente il contrario, sono andato a 
testare il proxy e poi gia' che c'ero ho provato ad attraversare il 
firewall linux anche senza (cosa che precedentemente non mi riusciva) 
e non ho notato particolari vantaggi nell'usare un metodo o l'altro.
tuttavia nel caso di un futuro impiego di pptp sicuramente usero' il 
proxy per via dell'ulteriore controllo sull'accesso offerto dalle sue acl.

 proxy per via dell'ulteriore controllo sull'accesso offerto dalle sue acl.
Sinceramente, porto il firewall così come è. poi in sede da me faccio 
tutte le prove che vuoi/consigli ma da loro non tocco nulla. Ho già 
penato abbastanza.