Problem mit PPTP

hoba

Hast Du ein seperates Subnet für Deine PPTP Clients? Läuft auf Deinem Client eine lokale Firewall? Ist die Einstellung "Default Gateway des Remote Netzwerkes verwenden" unter den erweiterten Einstellungen für das TCP/IP-Protokoll gesetzt?

Schau Dir mal http://doc.m0n0.ch/handbook/pptp-setup.html und die folgenden Seiten an, vielleicht findest Du da einen Fehler in Deinen Einstellungen. Ich benutze den PPTP Server selbst für ca. ein Dutzend Clients ohne Probleme. Es kann eigentlich nur eine Einstellungssache sein. Am Einfachsten geht es, wenn Du den Adressbereich der PPTP-Clients in den des lokalen LANs setzt, dann ist Routing außen vor.

tpf

Nein, kein eigenes Subnet.Der Remote IP Bereich ist 192.168.0.16/28.Die lokale Firewall habe ich ausgeschaltet und den Hacken bei Standart Gateway habe ich auch raus.
Die Anleitung habe ich schon mehrere Male durchgelesen(so was mach ich sonst nie ;D )

mfg tpf

hoba

Ok, dann brauche ich mehr Details. Poste mal bitte Deine Firewallrules vom Tab PPTP und Deine PPTP-Server Settings zusammen mit Deinen LAN-Interface-Settings.

tpf

Firewall Rules PPTP VPN:

Proto Source Port Destination Port Gateway

* PPTP clients * LAN net * *

Settings PPTP Server

Server Address 172.23.125.226

Remote Adress Range 192.168.0.16/28

Require 128 Bit enryption= aktiviert

Status up
MAC address xx:xx:xx:xx:xx
IP address 192.168.0.1
Subnet mask 255.255.255.0
Media 100baseTX <full-duplex>In/out packets 12992/16239 (1.61 MB/16.47 MB)
In/out errors 0/0
Collisions 0

Ich hoffe, dass hilft

mfg tpf</full-duplex>

hoba

Deine PPTP-Server Adresse liegt ausserhalb des LAN-Subnets und ausserhalb des PPTP-Client-Subnets. Ändere das mal auf eine freie LAN IP, die mit keiner anderen in Konflikt steht und auch nicht innerhalb des DHCP oder PPTP-Clientbereiches liegt. Dann sollte es gehen.

tpf

Diese IP krieg ich vom DHCP.Die pfSense ist nicht direkt mit dem Inet verbunden.Sie befindet sich in einem Privaten 172er Netzwerk.Wenn ich die auf 192.168.0.x setze hab ich doch keinen Zugriff mehr drauf, oder?

mfg tpf

hoba

Die PPTP-Server Adresse hat nichts mit der externen Adresse zu denen die Clients reintunneln zu tun. Das it die Gatewayadresse für die Clients, die für's routing notwendig ist, wenn die Clients in einem seperaten Subnet sind. In Deinem Fall, da sie im LAN-Subnet direkt liegen setze die einfach wie gesagt auf eine freie nicht verwendete LAN Adresse. Der PPTP-Server steht immer an allen Interfacen der pfSense zur Verfügung, sobald er enabled ist.

tpf

Ich habe die Adresse des PPTP-Servers jetzt auf 192.168.0.11 gesetzt.Die Remote Range steht immernoch auf 192.168.0.16/28.Trotzdem geht nichts, ausser das Pingen der pfSense.An den Rules hab ich nichts verändert.

mfg tpf

hoba

Ich hoffe Du probierst das vom WAN aus und nicht vom internen LAN subnet, sonst verursachst Du routing Probleme, weil Deine PPTP Verbindung und deine LAN IP im gleichen Subnet liegen. Paste bitte mal ein "ipconfig /all" von einem verbundenem Client.

tpf

H:>ipconfig /all

Windows-IP-Konfiguration

Hostname. . . . . . . . . . . . . :
Primäres DNS-Suffix . . . . . . . :
Knotentyp . . . . . . . . . . . . : Hybrid
IP-Routing aktiviert. . . . . . . : Nein
WINS-Proxy aktiviert. . . . . . . : Nein
DNS-Suffixsuchliste . . . . . . . :

Ethernetadapter LAN-Verbindung:

Verbindungsspezifisches DNS-Suffix:
Beschreibung. . . . . . . . . . . : Intel(R) PRO/1000 CT Network Connect
ion
Physikalische Adresse . . . . . . : xx-xx-xx-xx-xx-xx
DHCP aktiviert. . . . . . . . . . : Ja
Autokonfiguration aktiviert . . . : Ja
IP-Adresse. . . . . . . . . . . . : 172.23.125.68
Subnetzmaske. . . . . . . . . . . : 255.255.252.0
Standardgateway . . . . . . . . . : 172.23.125.126
DHCP-Server . . . . . . . . . . . : 172.23.125.6
DNS-Server. . . . . . . . . . . . : 129.13.64.5
129.13.96.2
Primärer WINS-Server. . . . . . . : 172.21.63.130
Sekundärer WINS-Server. . . . . . : 172.21.63.129
Lease erhalten. . . . . . . . . . : Dienstag, 4. April 2006 07:22:38
Lease läuft ab. . . . . . . . . . : Mittwoch, 5. April 2006 07:22:38

PPP-Adapter TBTEST:

Verbindungsspezifisches DNS-Suffix:
Beschreibung. . . . . . . . . . . : WAN (PPP/SLIP) Interface
Physikalische Adresse . . . . . . : xx-xx-xx-xx-xx-xx
DHCP aktiviert. . . . . . . . . . : Nein
IP-Adresse. . . . . . . . . . . . : 192.168.0.16
Subnetzmaske. . . . . . . . . . . : 255.255.255.255
Standardgateway . . . . . . . . . :
DNS-Server. . . . . . . . . . . . : 192.168.0.1

H:>

hoba

Seltsam, sieht für mich eigentlich korrekt aus. Mit gehen langsame die Ideen aus :-
Ich weiß nur, daß ich den PPTP-Server an mehreren Standorten einsetze und das anstandslos funktioniert für mehrere Clients. Welche Version von pfSense ist das eigentlich?

tpf

Die BETA2.
Ich verstehs auch nicht.Is irgendwie nervig.Wir sind hier ein ganzer Laden voll Informatiker und keiner findet das Prob.

mfg tpf

hoba

http://www.pfsense.com/~sullrich/RELENG_1_SNAPSHOT_04-03-2006/ ist wesentlich neuer. Es hat sich zwar bzgl. dem PPTP-Server eigentlich nichts geändert, aber vielleicht hat es ja mit irgendetwas firewallrelevantem zu tun. Sind unter system>systemlogs, firewall blocks von den Clients zu sehen?

tpf

Ich hab die neue Version versucht zu installieren.Da bringt der mir die Fehlermeldung, dass diese nicht zertifiziert sei.Als ich sie dann trotzdem installiert hab, hat die Firewall nen Abgang gemacht.
Mich wunderts halt ein bissle.Ich hab ja alles richtig eingestellt.Die Verbindung kommt ja auch ohne Probleme zu Stande.
Fällt Dir nichts mehr ein?

Aber mal ne andere Frage: Ich hab versucht mir das fully redundant System zusammen zu bauen.Das hab ich unter Anleitung deines Tuts gemacht.Die Option "Preemption" finden ich allerdings nirgends.Die eine Firewall steht im CARP auch auf Master. Die andere macht allerdings kein Mucks was CARP betrifft.Ich habe exakt dein Tut befolgt.Was kann das sein?

mfg tpf

hoba

Snapshots sind nicht digital signiert, d.h. die Meldung ist ganz normal und kann bestätigt werden. Daß die Firewall den Abgang macht ist NICHT normal. Ich empfehle neu unstallieren, vielleicht war ja vorher schon irgendwas quer.

Preemption ist nun by default eingestellt, die Option ist nicht mehr vorhanden bzw. kann auch nicht deaktiviert werden. CARP Loadbalancing wurde auch gestrichen, weil diese Funktion nicht einmal von den CARP-Entwicklern empfohlen wird und in der Praxis nur Probleme gemacht hat. Ansonsten müßte das Tutorial aber noch zutreffend sein.

Ein kleiner Ausblick auf pfSense 1.1: http://pfsense.com/~sullrich/pics/initial_wizard_selection.PNG
(Die Version 1.1 hat einen Wizard zum Cluster einrichten….und nein, die ist noch nicht verfügbar, es sei denn man macht selbst ein Build des HEAD-Trees. 1.1 ist aber noch ALPHA-ALPHA, also nicht unbedingt zum Einsatz zu empfehlen)

tpf

Geil!
Also ich muss jetzt mal ein ganz fettes Lob aussprechen.Ich find das echt toll, was pfSense zu bieten hat! Und dann noch kostenlos!Wann kann man ungefähr mit der Version rechnen?

PPTP läuft übrigens.Nachdem ich den Server auf 192.168.0.200 und die Remote Range auf 192.168.0.96/28 gestellt hab, geht der wie geschmiert.

Ich danke für Deine Mühe!

mfg tpf

hoba

Freut mich, daß es jetzt geht, was auch immer es vorher war :D
Mit dem Erscheinen von pfSense 1.0 stable ist nicht allzulange nach dem Erscheinen von FreeBSD 6.1 zu rechnen (momentan syncen wir regelmäßig gegen 6.1, was sich in den letzten Phasen des Entwicklungszyklus befindet).
Für Version 1.1 kann man noch nichts Genaues sagen, da hierfür noch massive Änderungen unter der Oberfläche und viele Erweiterungen des Frontends geplant sind. Es gibt zwar schon einige zusätzliche Features in 1.1 (siehe http://pfsense.com/~sullrich/pics/ ) aber die Version ist eigentlich noch prealpha.

JeGr

Auch wenn ich den Topic nicht kapern möchte, wollte ich hier ebenfalls großes Lob anbringen :) Das musste einmal gesagt werden ;D

hoba

Danke, ich werde es alle Entwickler wissen lassen ;D
Und apropos kapern, ich schließe mal den Thread als "gelöst", wenn's mit CARP Probleme gibt einfach einen neuen mit passendem Thema aufmachen.