[Comm] VPN с криптованым каналом в офтопике (XP)

[Comm] VPN с криптованым каналом в офтопике (XP)

[Alexander Kuprin]

Всем привет!

Ситуация следующая -- шлюз в Интерент (ALM2.2), на нём поднят pptpd
для того, чтобы клиенты могли ходить в Интернет только установив
VPN-соединение. Обусловлено это тем, что пользователь может
использовать любой компьютер для доступа в Сеть (вот такой
PC-коммунизм :). В настройках для pppd прописано следующее:

lock
debug
name vpn.gw
proxyarp
+chap
+chapms
+chapms-v2
mppe-40
mppe-128
mppe-stateless
ms-dns 127.0.0.1

Windows 98 и Windows 2000 подключаются и ходят по Интернет на ура, а с
"ХРюшкой" проблемы. Соединение устанавливалось, пинги ходили, телнетом
можно было зайти на любой доступный сайт:порт, но ни один веб-браузер
(проверялось на IE, Opera и Mozilla) не отображал страницы. Отладка
пакетов при помощи tcpdump на стороне шлюза показала, что ответные
пакеты доходяд до Winodws XP и тихо "помирают" где-то между сетевым
интерфейсом машины-клиента и веб-барузером. Ситуация лечится только
принудительным отключением шифрования у vpn-соединения на стороне
клиента, что не есть хорошо. :( Проверил такое на двух разных
версиях Windows XP. Проблема повторяется с упорством достойным лучшего
применения. :) А вопрос, собственно, следующий -- кто-то с подобным
сталкивался? Или это только моя карма?

p.s. И кстати, опция chapms-strip-domain где-нибудь работает? Я так
понимаю, из названия, что она должна отрезать имя домена из логина, если
он будет присутствовать в нём. Но попытка использовать данную опцию не
удалась -- в составе пакета ppp (ALM 2.2) она ещё не рабочая. Возможно
есть где-то патч для её использования? Было бы неплохо.

-- 
WBR, Alexander

Re: [Comm] VPN с криптованым каналом в офтопике (XP)

[Valery V. Inozemtsev]

[-- Attachment #1: signed data --]
[-- Type: text/plain, Size: 1459 bytes --]

<skip>
>
> Windows 98 и Windows 2000 подключаются и ходят по Интернет на ура, а с
> "ХРюшкой" проблемы. 

с ней действительно проблемы (Хрюшка... она и в африке свинья)

>Соединение устанавливалось, пинги ходили, телнетом
> можно было зайти на любой доступный сайт:порт, но ни один веб-браузер
> (проверялось на IE, Opera и Mozilla) не отображал страницы. Отладка
> пакетов при помощи tcpdump на стороне шлюза показала, что ответные
> пакеты доходяд до Winodws XP и тихо "помирают" где-то между сетевым
> интерфейсом машины-клиента и веб-барузером. Ситуация лечится только
> принудительным отключением шифрования у vpn-соединения на стороне
> клиента, что не есть хорошо. :( Проверил такое на двух разных
> версиях Windows XP. Проблема повторяется с упорством достойным лучшего
> применения. :) А вопрос, собственно, следующий -- кто-то с подобным
> сталкивался? Или это только моя карма?

сам не сталкивался, но у нас в сетке эта тема обсуждалась
там по умолчанию MTU если мне не изменяет склероз 1500, где менять не знаю, 
была некая прога которая это делает

>
> p.s. И кстати, опция chapms-strip-domain где-нибудь работает? Я так
> понимаю, из названия, что она должна отрезать имя домена из логина, если
> он будет присутствовать в нём. Но попытка использовать данную опцию не
> удалась -- в составе пакета ppp (ALM 2.2) она ещё не рабочая. Возможно
> есть где-то патч для её использования? Было бы неплохо.

-- 
Valery V. Inozemtsev	ftp://212.13.100.3/

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re[2]: [Comm] VPN с криптованым каналом в офтопике (XP)

[Alexander Kuprin]

Monday, December 22, 2003, 7:00:18 PM, you wrote:
>> Проблема повторяется с упорством достойным лучшего
>> применения. :) А вопрос, собственно, следующий -- кто-то с подобным
>> сталкивался? Или это только моя карма?

VVI> сам не сталкивался, но у нас в сетке эта тема обсуждалась
VVI> там по умолчанию MTU если мне не изменяет склероз 1500, где менять не знаю,
VVI> была некая прога которая это делает

Т.е. нужно поиграть размером MTU/MRU ? Меняется на стороне сервера,
насколько мне известно (в /etc/ppp/options.pptpd, например).

-- 
Best regards,
 Alexander                            mailto:ak@politex-college.lg.ua

Re: [Comm] VPN с криптованым каналом в офтопике (XP)

[Valery V. Inozemtsev]

[-- Attachment #1: signed data --]
[-- Type: text/plain, Size: 700 bytes --]

> >> Проблема повторяется с упорством достойным лучшего
> >> применения. :) А вопрос, собственно, следующий -- кто-то с подобным
> >> сталкивался? Или это только моя карма?
>
> VVI> сам не сталкивался, но у нас в сетке эта тема обсуждалась
> VVI> там по умолчанию MTU если мне не изменяет склероз 1500, где менять не
> знаю, VVI> была некая прога которая это делает
>
> Т.е. нужно поиграть размером MTU/MRU ? Меняется на стороне сервера,
> насколько мне известно (в /etc/ppp/options.pptpd, например).

не трогай сервер, причина не в нем. MTU надо менять у хрюши и именно для VPN 
соединения. вот, нашел
http://www.altair-net.ru/aview.php?section=0&id=11

-- 
Valery V. Inozemtsev	ftp://212.13.100.3/

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] VPN с криптованым каналом в офтопике (XP)

[Pavel Stoliarov]

Понедельник 22 Декабрь 2003 20:15, Alexander Kuprin написал:
> Всем привет!
>
> Ситуация следующая -- шлюз в Интерент (ALM2.2), на нём поднят pptpd
> для того, чтобы клиенты могли ходить в Интернет только установив
> VPN-соединение. Обусловлено это тем, что пользователь может
> использовать любой компьютер для доступа в Сеть (вот такой
> PC-коммунизм :). В настройках для pppd прописано следующее:
>
> lock
> debug
> name vpn.gw
> proxyarp
> +chap
> +chapms
> +chapms-v2
> mppe-40
> mppe-128
> mppe-stateless
> ms-dns 127.0.0.1
>
> Windows 98 и Windows 2000 подключаются и ходят по Интернет на ура, а с
> "ХРюшкой" проблемы. Соединение устанавливалось, пинги ходили, телнетом
> можно было зайти на любой доступный сайт:порт, но ни один веб-браузер
> (проверялось на IE, Opera и Mozilla) не отображал страницы. Отладка
> пакетов при помощи tcpdump на стороне шлюза показала, что ответные
> пакеты доходяд до Winodws XP и тихо "помирают" где-то между сетевым
> интерфейсом машины-клиента и веб-барузером. Ситуация лечится только
> принудительным отключением шифрования у vpn-соединения на стороне
> клиента, что не есть хорошо. :( Проверил такое на двух разных
> версиях Windows XP. Проблема повторяется с упорством достойным лучшего
> применения. :) А вопрос, собственно, следующий -- кто-то с подобным
> сталкивался? Или это только моя карма?

Пропиши на своем шлюзе 

iptables -A FORWARD -i ppp+ -o eth0  -p tcp --tcp-flags SYN,RST SYN -j TCPMSS 
--set-mss 1024

Вместо eth0 твой интерфейс который смотрит наружу.
Более подробно man iptables



>
> p.s. И кстати, опция chapms-strip-domain где-нибудь работает? Я так
> понимаю, из названия, что она должна отрезать имя домена из логина, если
> он будет присутствовать в нём. Но попытка использовать данную опцию не
> удалась -- в составе пакета ppp (ALM 2.2) она ещё не рабочая. Возможно
> есть где-то патч для её использования? Было бы неплохо.

Такая опция работает. Только pppd который идет в Master 2.2 не пропатченый.
Если нужен пропатченый pppd , пиши , выложу .
Ну или можешь сам пропатчить , правда не помню где патчик брал, поищи в google

-- 
Best regards 
Pavel

Re[2]: [Comm] VPN с криптованым каналом в офтопике (XP)

[Alexander Kuprin]

Добрый день, Павел.

Tuesday, December 23, 2003, 5:39:33 AM, you wrote:
PS> Пропиши на своем шлюзе

PS> iptables -A FORWARD -i ppp+ -o eth0  -p tcp --tcp-flags SYN,RST SYN -j TCPMSS
PS> --set-mss 1024

PS> Вместо eth0 твой интерфейс который смотрит наружу.
PS> Более подробно man iptables

Ого! Заработало! Thanx. :)) А где об этом можно почитать?

>> p.s. И кстати, опция chapms-strip-domain где-нибудь работает?

PS> Такая опция работает. Только pppd который идет в Master 2.2 не пропатченый.
PS> Если нужен пропатченый pppd , пиши , выложу .
PS> Ну или можешь сам пропатчить , правда не помню где патчик брал, поищи в google


Хм.. Погуглил (patch ppp chapms-strip-domain), но нашёл патч только на ppp
версии 2.3.11 Твой новее? Если можно, то выложи.

--
Best regards,
 Alexander                            mailto:ak@politex-college.lg.ua

Re[2]: [Comm] VPN с криптованым каналом в офтопике (XP)

[Alexander Kuprin]

Добрый день, Валерий.

Monday, December 22, 2003, 8:18:40 PM, you wrote:

>> Т.е. нужно поиграть размером MTU/MRU ? Меняется на стороне сервера,
>> насколько мне известно (в /etc/ppp/options.pptpd, например).

VVI> не трогай сервер, причина не в нем. MTU надо менять у хрюши и именно для VPN
VVI> соединения. вот, нашел
VVI> http://www.altair-net.ru/aview.php?section=0&id=11

Хм.. Спасибо за ссылку. Но в моём случае подойдёт варинат, который
предложил Павел Столяров (из-за того, что всё выполняется
централизованно). Согласно Iptables Tutorial это проблема с
"ограничениями, накладываемые провайдерами, которые блокируют ICMP Fragmentation
Needed пакеты. В результате таких ограничений серверы провайдеров
могут не передавать web-страницы, ssh может работать, а scp обрываться
после установления соединения". Хм... Сам себе что-ли наложил я их.
Или это нужно претензии своему провайдеру предъявлять? :-\

Хотя лучшим выходом станет использование вот такого правила:

/sbin/iptables -t nat -I POSTROUTING 1 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1024

Тогда не надо привязываться к конкретным именам интерфейсов.

-- 
Best regards,
 Alexander                            mailto:ak@politex-college.lg.ua