https://www.opennet.me/openforum/vsluhforumID1/81657.html Есть маршрутизатор на FreeBSD 6.2 (шлюз для всех компов нашей локалки 192.168.1.0)<br>На нем поднят mpd сервер.<br>Удаленные клиенты WinXP подключаются (им выдается адрес сервера 192.168.100.1 и адрес клиента 192.168.100.2). Адрес сервера пингуется. С маршрутизатора клиент тоже пингуется.<br><br>Проблема в том, что из внутренней сетки 192.168.1.0 с любого компа не подключиться к vpn клиенту (нужен rdp, radmin).<br><br>fire.sh:<br>00100 divert 8668 ip from 192.168.1.0/24 to any out xmit rl0<br>00150 divert 8668 ip from any to {inet_ip} in recv rl0<br>00200 deny tcp from any to any dst-port 135-139 via rl0<br>...<br>00501 allow ip from any to any via ng0<br>...<br><br>rl0 - внешний интерфейс (смотрит в инет)<br><br>что не так?<br> https://www.opennet.me/openforum/vsluhforumID1/81657.html#11 Mon, 01 Sep 2008 07:33:36 GMT Слушайте, все работает, только странновато слегонца, но это вопрос времени на тестирование.<br><br>Для соединения с почтовым сервером на сервере mpd надо с клиента коннектиться не к 10.9.0.1, а к 10.9.0.3, ведь в данном случае этот ip пробрасывает запросы к серверу, ЛИБО, что вдруг произошло, telnet на 25 порт с клиента <br><br>на клиенте то так проходит:<br>telnet 10.9.0.1 25<br><br>то так:<br>telnet 10.9.0.3 25<br><br>Я еще поразбираюсь, странно, т.к. если все работает, то не должно быть таких изменений, тем более спонтанно.<br><br>Я тут потестю, потом видно будет, ерунда или нет.<br> https://www.opennet.me/openforum/vsluhforumID1/81657.html#10 Mon, 01 Sep 2008 06:51:53 GMT allow ip from any to any via lo0<br>allow log logamount 100 ip from any to any via sk0<br>allow log logamount 100 ip from any to any via tun0<br><br>deny ip from any to me dst-port 3306 in via sk0<br>deny ip from any to me dst-port 3128 in via sk0<br>deny ip from any to me dst-port 25 in via sk0<br>deny ip from any to me dst-port 110 in via sk0<br><br>allow log logamount 100 udp from any to me dst-port 2093 in via sk0<br>allow udp from me 2093 to any out via sk0<br>allow udp from me to 195.5.128.130 out via sk0<br>allow udp from 195.5.128.130 to me in via sk0<br><br>divert 8668 ip from any to any in via sk0<br>check-state<br>allow gre from any to any<br>allow log logamount 100 tcp from 10.8.0.0/24 to me dst-port 1723 via tun0<br>allow log logamount 100 tcp from any to me dst-port 1723 via sk0<br>allow log logamount 100 tcp from me 1723 to any via sk0<br><br>00206 allow ip from any to any<br><br>skipto 5000 log logamount 100 ip from any to any out via sk0 setup keep-state<br>skipto 5000 log logamount 100 udp from me to any dst-port 53 out via sk0 keep-state https://www.opennet.me/openforum/vsluhforumID1/81657.html#9 Fri, 29 Aug 2008 12:05:36 GMT на основании таких правил ipfw нельзя сказать что не так.<br><br><br> https://www.opennet.me/openforum/vsluhforumID1/81657.html#8 Fri, 29 Aug 2008 11:59:15 GMT Я вот в этих правилах совсем не вижу, каким образом клиент (192.168.100.2) будет иметь дело с сетью 192.168.1.0/24. У меня просто вопрос как раз связан с этим, поэтому и спрашиваю.<br><br>когда клиент подключен по vpn, на сервере создается интерфейс ng0:<br><br># ifconfig ng0<br>ng0: flags=88d1&lt;UP,POINTOPOINT,RUNNING,NOARP,SIMPLEX,MULTICAST&gt; metric 0 mtu 1296<br> inet 10.9.0.1 --&gt; 10.9.0.3 netmask 0xffffffff<br><br>Ок, на клиенте, соответственно, ipconfig (WinXP):<br>test - PPP адаптер:<br> DNS-суффикс этого подключения . . :<br> IP-адрес . . . . . . . . . . . . : 10.9.0.3<br> Маска подсети . . . . . . . . . . : 255.255.255.255<br> Основной шлюз . . . . . . . . . . : 10.9.0.3<br><br>На сервере есть squid на порту 3128, через которого клиент должен выходить в интернет, плюс почтовый сервер на этом же сервере, плюс почтовик в локалке... Моя локальная сеть 192.168.2.0/24, на сервере с mpd настроен ipfw, внешний интерфейс сервера vpn: sk0 (192.168.2.251), nat соответственно, на нем висит.<br><br>Что мне настрои https://www.opennet.me/openforum/vsluhforumID1/81657.html#7 Wed, 27 Aug 2008 13:41:05 GMT &gt;[оверквотинг удален]<br>&gt;00100 divert 8668 ip from 192.168.1.0/24 to any out xmit rl0 <br>&gt;00150 divert 8668 ip from any to {inet_ip} in recv rl0 <br>&gt;00200 deny tcp from any to any dst-port 135-139 via rl0 <br>&gt;... <br>&gt;00501 allow ip from any to any via ng0 <br>&gt;... <br>&gt;<br>&gt;rl0 - внешний интерфейс (смотрит в инет) <br>&gt;<br>&gt;что не так? <br><br>Раз удаленному клиенту удается зацепиться у серверу, и он успешно получает IP думаю проблема в настройке фаервола<br><br>думаю нужны правилa вроде<br><br>deny ip from any to 10.0.0.0/8 via rl0<br>deny ip from any to 172.16.0.0/12 via rl0<br>deny ip from any to 192.168.0.0/16 via rl0<br><br>allow ip from 192.168.1.0/24 to 192.168.1.0/24<br><br><br> https://www.opennet.me/openforum/vsluhforumID1/81657.html#6 Tue, 26 Aug 2008 12:51:45 GMT есть у кого-нибудь идеи?<br> https://www.opennet.me/openforum/vsluhforumID1/81657.html#5 Mon, 25 Aug 2008 10:32:15 GMT &gt;ану покаж mpd.links <br><br>pptp0:<br> set link type pptp<br> https://www.opennet.me/openforum/vsluhforumID1/81657.html#4 Sun, 24 Aug 2008 09:23:41 GMT ану покаж mpd.links<br><br> https://www.opennet.me/openforum/vsluhforumID1/81657.html#3 Fri, 22 Aug 2008 14:02:02 GMT ставьте mpd5 и понижайте mtu при создании vpn<br>