Duvida com PPTP

veniciopika

Prezados Boa Tarde,

Estou com uma duvida e gostaria a ajuda de voces, quero configurar uma vpn do tipo pptp, na aba Server addres eu coloco o meu ip publico que é 186.xxx.xxx.xxx ou coloco o ip do meu firewall que é 192.168.50.254

marcelloc

Se não estiver enganado, você coloca o ip que os clientes vão usar como gateway.

veniciopika

@marcelloc:

Se não estiver enganado, você coloca o ip que os clientes vão usar como gateway.

então tenho que colocar meu ip publico?

marcelloc

Privado

veniciopika

@marcelloc:

Privado

entao vai ficar assim na aba Server addres colocarei 192.168.50.254 que é o ip que os computadores da minha rede conectan nele.

JackL

@veniciopika:

entao vai ficar assim na aba Server addres colocarei 192.168.50.254 que é o ip que os computadores da minha rede conectan nele.

Coloque um IP Privado que não esteja em uso e nem esteja configurado no Firewall.

Por exemplo, se o teu firewall responde na LAN pelo IP 192.168.50.254, coloque em Server Address da VPN PPTP algo como: 192.168.50.253 (se não estiver em uso ou sendo fornecido às estações da rede via DHCP, claro).

Abraços!
Jack

LFCavalcanti

Olá…

Vou precisar descordar do JackL.

Para configurar o PPTP faça o seguinte, você tem uma rede 192.168.0.0/24 que é a rede real da sua empresa, na configuração dentro da GUI do PFSense, coloque "Server Address" como 192.168.50.254 e no campo "Remote Address Range" coloque 192.168.51.2, pronto, agora basta configurar as outras opções e criar os usuários.
Se você observar o Gateway deve estar em uma subrede separada do Range para IPs dos Clientes PPTP, assim como a rede interna deve ser em outra subrede, isso é feito para evitar conflitos de NAT.

OBS: Não esqueça de configurar as regras de Firewall para liberar o trafego da interface do PPTP com a rede interna.

JackL

@LFCavalcanti:

Vou precisar descordar do JackL.
Para configurar o PPTP faça o seguinte, você tem uma rede 192.168.0.0/24 que é a rede real da sua empresa, na configuração dentro da GUI do PFSense, coloque "Server Address" como 192.168.50.254 e no campo "Remote Address Range" coloque 192.168.51.2, pronto, agora basta configurar as outras opções e criar os usuários.
Se você observar o Gateway deve estar em uma subrede separada do Range para IPs dos Clientes PPTP, assim como a rede interna deve ser em outra subrede, isso é feito para evitar conflitos de NAT.
OBS: Não esqueça de configurar as regras de Firewall para liberar o trafego da interface do PPTP com a rede interna.

Desculpe LFCavalcanti, mas honestamente nunca vi nem utilizei esta metodologia em VPNs PPTP. Na prática, me parece inclusive meio sem nexo, já que você está fornecendo um Gateway para os teus clientes remotos que não está na rede lógica em que eles ficarão! ???

Também não vejo nenhuma vantagem, por default, em você forçar um NAT em uma VPN do tipo PPTP - Cuja principal aplicabilidade é "trazer para dentro da respectiva subnet um cliente remoto".

Enfim, segue um exemplo clássico (tela em anexo) do funcionamento que costumo implementar. Neste exemplo, o pfSense admitirá até 10 clientes remotos simultâneos, dando-lhes um IP que vai variar de 192.168.0.41 até 192.168.0.50.

Simples assim! ;)

Abraços!
Jack

conf_vpn_pptp.jpg_thumb

LFCavalcanti

Esta configuração que usei como exemplo está plenamente funcional em um dos meus clientes, haviam poucos IPs disponiveis, acabei por induzir outra subnet no PPTP. Funciona perfeitamente, inclusive a navegação de Internet e acesso a servidores de dados.
Basta liberar as portas necessárias entre as interfaces e tudo funciona.

Alguns vendedores externos discam a VPN para se autenticarem no Dominio.

Já me deparei com problemas assim: O Usuário estava na rede da empresa 1, discou a VPN e não conseguia acessar a rede Interna da empresa 2, o problema é que as três subredes(empresa 1, empresa 2, PPTP) eram 192.168.0.0/24. Esse range é um dos mais usados.

marcelloc

Eu uso rede com range diferente no pttp tambem.

Se a lan é 192.168.0. eu coloco 192.168.1. no pptp.

Confunde menos na hora de imaginar os pacotes passando.

JackL

@marcelloc:

Se a lan é 192.168.0. eu coloco 192.168.1. no pptp.
Confunde menos na hora de imaginar os pacotes passando.

Por outro lado você tem o "custo" de redirect e/ou NAT de pacotes.

Mas enfim, como eu disse, eu uso este tipo de VPN para trazer os clientes remotos (client-to-site) pra dentro de uma determinada subnet. Nunca usei no intuito de segmentar ou separar usuários. Obviamente que quando preciso interligar um número grande de usuários ou mesmo outros sítios, uso IPSec ou OpenVPN (aí sim, redes separadas, claro).

Enfim, bom saber que funciona desta forma (a tradução acontece de forma automática)! ;)

Abraços!
Jack

LFCavalcanti

Não ocorre perca de desempenho JackL, pelo seguinte fator: Mesmo que o PPTP esteja na mesma subrede, como o PFSense trata o PPTP como uma interface, todos os pacotes são analisados e traduzidos.

No IPCOP por exemplo ele não trata como uma interface, obrigando a usar a mesma subrede.

A vantagem do PFSense reconhecer o PPTP como uma interface é limitar quais portas o usuário na VPN terá acesso na rede interna, o que na minha humilde opinião é um ganho interessante para a segurança dos dados.

JackL

@LFCavalcanti:

Não ocorre perca de desempenho JackL, pelo seguinte fator: Mesmo que o PPTP esteja na mesma subrede, como o PFSense trata o PPTP como uma interface, todos os pacotes são analisados e traduzidos.

Analisados sim, traduzidos não.

A vantagem do PFSense reconhecer o PPTP como uma interface é limitar quais portas o usuário na VPN terá acesso na rede interna, o que na minha humilde opinião é um ganho interessante para a segurança dos dados.

Concordo… Por isso bom saber que isso funciona por default e sem maiores problemas no pfSense! ;)

veniciopika

@JackL:

@LFCavalcanti:

Não ocorre perca de desempenho JackL, pelo seguinte fator: Mesmo que o PPTP esteja na mesma subrede, como o PFSense trata o PPTP como uma interface, todos os pacotes são analisados e traduzidos.

Analisados sim, traduzidos não.

A vantagem do PFSense reconhecer o PPTP como uma interface é limitar quais portas o usuário na VPN terá acesso na rede interna, o que na minha humilde opinião é um ganho interessante para a segurança dos dados.

Concordo… Por isso bom saber que isso funciona por default e sem maiores problemas no pfSense! ;)

em mas só para eu enteder como que ficará a configuração da minha vpn sabendo que o ip do meu pfsense é 192.168.50.254

então minha configuração pode ser assim?
Server address 192.168.50.254
Remote address range 192.168.51.10

em dns coloco alguma coiza ?

JackL

@veniciopika:

em mas só para eu enteder como que ficará a configuração da minha vpn sabendo que o ip do meu pfsense é 192.168.50.254

Siga a sugestão do colega LFCavalcanti,

Server address 192.168.51.1
Remote address range: 192.168.51.2

em dns coloco alguma coiza ?

Se você tem algum servidor DNS interno ou se os teus usuários de VPN vão navegar pelo túnel, acrescente. Do contrário, a priori, não é necessário.

Abraços!
Jack

veniciopika

@JackL:

@veniciopika:

em mas só para eu enteder como que ficará a configuração da minha vpn sabendo que o ip do meu pfsense é 192.168.50.254

Siga a sugestão do colega LFCavalcanti,

Server address 192.168.51.1
Remote address range: 192.168.51.2

em dns coloco alguma coiza ?

Se você tem algum servidor DNS interno ou se os teus usuários de VPN vão navegar pelo túnel, acrescente. Do contrário, a priori, não é necessário.

Abraços!
Jack

Prezados Depois de Configurado o PPTP configurei uma regra na interface PPTP liberando todo o acesso para que se conectar na vpn, a regra está correta, tenho que acrescentar mais alguma regra nas interfaces lan e wan.?

Captura_de_tela.png_thumb