Newsgroup: it.comp.os.linux.sys
Titolo: Debian Sarge e VPN - richiesta HELP [thread lungo]

Ciao a tutti!
Il nostro prof. di matematica ci ha lanciato una sfida, insegna anche
informatica ma noi essendo smanettoni abbiamo raccolto! Spero che non legga
questo NG! :-|
In pratica dobbiamo raggiungere i seguenti obiettivi:
1) - installare una Debian Sarge con auto installer (attualmente la testing)
2) - creare una macchina DMZ con 2 schede di rete
3) - collegarsi come CLIENT ad un server VPN e pingare l'IP 192.168.35.1
4) - creare un server VPN con la Debian Sarge
5) - impostare il Linux Firewall
Ed altri punti che adesso non sto ad elencare, ci è concesso utilizzare il
Webmin ma nessun server X grafico, dato che abbiamo fino ad oggi utilizzato
solo distro MDK.
Avanzamento:
1) siamo riusciti ad installare la Debian, abbiamo avuto problemi con i vari
server FTP pubblici, ma alla fine è fatta!
2) installare 2 schede di rete è stata di una banalità estrema, configurate
tramite il file /etc/network/interfaces, qui però abbiamo impostato come
ETH0 la scheda collegata al nostro router, ed abbiamo assegnato il nostro IP
pubblico con i relativi DNS e IP pubblico come gateway... tutto okay,
pinghiamo tutta la rete pubblica, risolvendo anche i nomi. La seconda
scheda, la ETH1 l'abbiamo configurata come IP interno della nostra rete
locale, anche qui' nessun problema.
In questa fase, abbiamo riscontrato la REALE necessità di installare WEBMIN,
abituati a MDK...
Okay, il PUNTO 3 !
Iniziano i problemi, con webmin che ci aiuta, riusciamo a capire che
necessita configurare in varii modi il PPTP, nel frattempo però proviamo a
collegarci al server VPN pubblico che dobbiamo utilizzare come test, difatti
il prof ci ha consegnato un login e PWD. Abbiamo provato percio'
inizialmente per vedere come fare a collegarci con un Windows XP. In effetti
con Xp è molto semplice creare un collegamento Client, ciò però ci è servito
per verificare COME ci si collegava, il server ha risposto dai dettagli di
XP come segue:
Periferica: WAN Miniport (PPTP)
Tipo di periferica: vpn
Tipo server: PPP
Trasporti: TCP/IP
Autenticazione MD5 CHAP
Compressione (nessuno)
Frame collegamento: Disattivato
Indirizzo IP del server: 192.168.35.129
Indirizzo IP client: 192.168.35.132
Da questo siamo riusciti a capire che ha usato un metodo di autenticazione
MD5 e che ha assegnato dinemicamente il suo IP server come 192.168.35.129 e
che sempre in dinamico, assegna al client 192.168.35.132, non sappiamo pero'
quale è il range stabilito per i client e se possono essere piu' di uno, ma
questo poco importa.
Sempre tramite XP, riusciamo a pingare anche l'IP richiesto, il
192.168.35.1, facendo poi uno scanning delle porte dell' IP pubblico del
PROF, riusciamo a vedere che esiste aperta solo la porta 22 e la 1723 (VPN
giusto?), inoltre la porta 22 si riferisce ad OPEN-SSH.
Solo una cosa molto strana, nel setup del link di XP come VPN, alla
richiesta:
Richiedi crittografia dati (disconnetti se non disponibile)
Pur selezionandola, non ci permetteva il collegamento, DESELEZIONANDOLA
invece, si collega senza problemi, in pratica ha come setup di protezione,
solo RICHIEDI PASSWORD PROTETTA.
Ad ogni modo, abbiamo rilevato tutto il necessario per proseguire con la
sfida.
Girando per Google ed anche alle segnalazioni di Webmin, nell'area di
configurazione Tunnel VPN Client, abbiamo scoperto che il kernel della
Debian, va PATCHATO per funzionare ed accedere a server VPN Windows, tale
patch si chiama MPPE Encription.
Anche se dai vari ping (OpenSSH) abbiamo capito che il server VPN del prof è
un Linux, abbiamo voluto installare la Patch et voilà! Con aptitude detto
fatto.
Per provare senza fare casini, con un portatile XP PRO ed un cavo crossato,
abbiamo fatto i vari test, in pratica con XP abbiamo creato un server VPN e
con il nostro Debian siamo riusciti a collegarci come CLIENT VPN, ebbene
funziona perfettamente, si collega ad un server VPN Microsoft, ottenendo
addirittura una autenticazione MS Chap V2.
Sempre per avere maggiori informazioni, proviamo a collegarci al server del
Prof con un Windows 98... si, ci riesce anche lui ed otteniamo i seguenti
servizi attivi:
- Accedi alla rete
- Attiva compressione del software
- Richiedi crittografia password
- TCP/IP
La cifratura dei dati, anche con Windos 98, non è possibile.
Ma veniamo a noi, eccoci con il primo test da effettuare con la Debian e
cioè il collegamento come Client Debian e il server VPN del prof, sempre con
l'aiuto di Webmin, dopo avere impostato IP pubblico, login e password OKAY!
Ci colleghiamo egregiamente al server del PROF! Lasciamo perdere il webmin,
e andiamo fisicamente sul server Debian, rimanendo collegati, proviamo a
fare un bel ifconfig -a
Dunque, il PPTP non sembra funzionare correttamente... imposta sia l'IP del
client e l'IP del server correttamente, ma i MAC address delle due macchine
non sembrano risolte, forse non gira il RARP! :-(
Infatti, provando a pingare l'IP 192.168.35.1, non viene visto.... mentre
collegandoci come client sia come Xp sia come W98, riuscivamo....
PROBLEMA A: In effetti dovremmo inpostare una tabella di routing per potere
vedere tutta la rete remota in VPN oppure un singolo IP della rete remota...
e qui' casca l'asino...
Come si fa?
Non riuscendoci, continuiamo a procedere con la sfida, e cioè con il punto
4!
Okay, sempre con l'aiuto del webmin, impostiamo un tunnel server VPN,
mettiamo un range di indirizzi che saranno assegnati ai clients accederanno,
mettiamo l'IP che sarà assegnato dinamicamente al server VPN, scegliamo il
tipo encription e cioè:
40 bit e 128 bit ed è fatta... Okay, adesso proviamo a collegarci con un
client windows 98 ....otteniamo:
- sempre senza criptazione dati, riusciamo ad avere una autenticazione MS
CHAP V2, purtroppo anche questa volta collegandoci al nostro server, non
riusciamo ad avere :
Richiedi crittografia dati (disconnetti se non disponibile)
Ad ogni modo, ci siamo riusciti ma....anche per il nostro server, non
riusciamo a PINGARE altri IP della nostra rete :-(
Concludendo e ripetendo, sia che ci colleghiamo al server del prof, sia che
ci colleghiamo al nostro server, non riusciamo a pingare e a vedere le rete
remota quando siamo CLIENT sul server del prof oppure quando siamo client
sul nostro server....
Come dicevo, COME FACCIAMO AD IMPOSTARE UN ROUTING?
Grazie per avermi letto con pazienza e spero nella vostra pazienza ed aito!
:-)
Ciao


se non ho capito male devi potere accedere a tutta la rete remota dal tuo 
client vpn....
posto che ci sia un firewall iptables,
metterei le righe:
iptables -N server   #creo una nuova chain per accettare chiamate originate 
dall'esterno (se nonc'e')
iptables -A server -p 47 -j ACCEPT      #accetto protocollo GRE (sicuramente 
c'e' se no non va il tunnel)
iptables -A server -p tcp -s 0/0 --destination-port 1723 -j ACCEPT     #idem 
come sopra
iptables -A server -i ppp+ -j ACCEPT  #permetto a tutte le interfacce VPN di 
accedere alla rete locale. il "+" e' la wildcard che in iptables mi permette 
di specificare n interfacce.
cosi' configurato riesco ad accedere a tutte le risorse di rete da remoto.
spero di essere stato utile.
ciao
V4l 

 ciao
Certo che sei stato utile!!!
Il fatto è che il Linux Firewall è un altro dei punti che dobbiamo
affrontare....
Ma quasi mi vergogno a dire che dopo averlo attivato con webmin, non siamo
più riusciti a fare funzionare la Debian.. sia in uscita che in ingresso....
insomma allo stile winzoz abbiamo dovuto piallare e reinstallare 8-(
Cmq. Le tue info sono molto utili, infatti anche se attiveremo il Linux
Firewall, dovremmo però sapere quali sono i files da modificare manualmente
con midnight commander (preferisco)...
Pertanto per trovare dove vanno radicati i comandi IPTABLES, prima installo
il Firewall Linux, poi cerco il file che ha all'interno i comandi IPTABLES e
poi mi affido a SANTO GOOGLE per avere altri lumi cosi' come abbiamo fatto
con VPN!
:-)
Ciao e grazie per il tuo aiuto!

 con VPN!
se mi passi un ind di posta valido ti mando quello che uso io.... sono 3 
files da mettere in
/etc/rc.d/
tra cui un rc.local gia' pronto da sostituire..... ;)
tra l'altro lo script e' tutto commentato in modo da capire cosa 
succede......
oppure vai a
http://www.openskills.info/view/boxdetail.php?IDbox=208&IDlanguage=&boxtype=scripts
e ti sciroppi tutto quello che ti dice riga per riga...
ciao
V4l 

riusciamo a PINGARE altri IP della nostra rete :-(
Tra le opzioni del server, per pppd, prova a mettere proxyarp.
-- 
giu...@pobox.com