настройка pptp(VPN) сервера



  • вообщем такая проблема:

    дано:
    2 провайдера мтс и билайн
    мтс - статика
    билайн - vpn

    попытки поднять билайновский vpn не увенчались упехом, благо у них можно заказать статику, поэтому особо долго не мучался и сейчас для теста поднял билайн на старом tp-link.
    в tp-link пробросил все порты до pfsense(c 1-65000 и tcp и utp)
    настроил балансировку нагрузки, вроде все ок работает
    далее надо на pfsense поднять VPN сервер чтобы можно было подключаться из инета к локалке, это сделано
    на вебморду pfsense в правилах NAT сделал проброс порта, из инета по обоим IP морда открывается
    на VPN порты не пробрасывал(на сколько я понял надо пробросить 1723 порт) хотя и без этого все нормально работает, те по мтс ip заходит в локалку а вот по билайновскому не хочет.

    Вопрос в чем дело?
    может потому что билайн по vpn работает…
    может потому что порты не пробросил, хотя пробовал пробросить все равно не поднимается



  • попытки поднять билайновский vpn не увенчались упехом

    Плохо искали :( Подняли бы глаза повыше и нашли.
    https://forum.pfsense.org/index.php/topic,24734.360.html  и след. страница (посты от Nailman)

    в tp-link пробросил все порты до pfsense(c 1-65000 и tcp и utp)

    Опять не то. Это наз-ся DMZ и у Tp-Link это должно быть в настройках (в зав-ти от модели, конечно)

    на вебморду pfsense в правилах NAT сделал проброс порта, из инета по обоим IP морда открывается
    на VPN порты не пробрасывал(на сколько я понял надо пробросить 1723 порт) хотя и без этого все нормально работает, те по мтс ip заходит в локалку а вот по билайновскому не хочет.

    Ищем, что еще нужно пробрасывать для работы PPTP (http://ru.wikipedia.org/wiki/PPTP) . Подскажу - это не только 1723\TCP, но GRE.
    Сомневаюсь, что Ваш Tp-Link умеет пробрасывать GRE.

    И еще , если вы будете поднимать линк с помощью pptp-клиента на pfsense, то заставить корректно работать еще и pptp-сервер не представляется возможным . Это ограничение текущей версии pfsense :( Используйте вместо pptp-сервера любые другие - OpenVPN, L2TP, IPSec.



  • ну эти как раз я и руководствовался когда пытался поднять, но у Nailman все слишком сложно надо править конфиги, а после одновления, все это слетит, поэтому воспользовался этим постом

    Настроил подключение по IP, не по hostname. Назову его IPROUTE. Распишу подробно рабочее решение, потому что с подключением по hostname, видимо, надолго всё затягивается.
    Interfaces - assign. Настраиваю интерфейс WAN - DHCP.
    Interfaces - assign - PPPs. Создаю подключение PPP с линком на созданный выше WAN, не на сетевую карту. Вместо hostname указываю IP шлюза IPROUTE. Узнать его можно Diagnostic - DNS Lookup.
    Interfaces - assign. Создаю новый интерфейс PPTP. Там автоматом подставятся настройки PPP, созданного выше.
    System - Routing. Ставлю default на интерфейс PPTP.
    System - Routing - Routes. Добавляю маршрут до шлюза PPTP. Destination network — IPROUTE/32. Gateway — интерфейс WAN - DHCP.

    впн вроде как поднялся и после перезагрузки больше не включался, и попытки сделать все сначала, так же не увенчались успехом, поэтому и забил, благо есть возможность обойтись без vpn



  • Ну так скажите "спасибо" своему прову , что у него периодически меняются то шлюз, то днс, то присваиваемый вам адрес при уже установленном соединение.



  • как оказалось все работает….

    сегодня зашел и смотрю что, 1 провайдер(мтс) отвалился и все работает через билайн, ради эксперемента попробовал подрубиться по VPN и о чудо все фурычит,значит дело в настройках сенса...

    что и где можно посмотреть?

    так как если по умолчанию работает 1 провайдер, в веб морду из вне по обоим IP заходит
    а пот VPN подключается получается только под активным провайдером



  • Правила на LAN покажите.



  • вот
    также при подключении по VPN можно зайти по любой комп, но только по IP адресу, если зайти в сетевое окружение то отображается только 1 комп, тот с которого подключаюсь, в чем может быть дело?








  • так как если по умолчанию работает 1 провайдер, в веб морду из вне по обоим IP заходит
    а пот VPN подключается получается только под активным провайдером

    Так и есть. У вас правилах в Gateway указан шлюз по-умолчанию. Т.е. подключение всегда будет идти через того пров-ра , к-ый у вас дефолтный.
    Хотите по-другому - создавайте LoadBalanced\FailOver-группу из ваших подключений и указывайте явным образом в правилах fw на LAN.

    P.s. При создании группы из интерфейсов не забудьте поставить галки на Allow default gateway switching и Stickly connection.



  • также при подключении по VPN можно зайти по любой комп, но только по IP адресу, если зайти в сетевое окружение то отображается только 1 комп, тот с которого подключаюсь, в чем может быть дело?

    У вас недоменная структура? Поднимите домен\настройте WINS.

    P.s. Попробуйте задавать PPTP-клиентам адреса из внутренней сети , т.е. выделите им неиспользуемый диапазон.
    P.p.s. Ответы на ваши вопросы есть в гугле - не ленитесь искать. Если собираетесь заниматься сетями - учите основы.



  • @werter:

    также при подключении по VPN можно зайти по любой комп, но только по IP адресу, если зайти в сетевое окружение то отображается только 1 комп, тот с которого подключаюсь, в чем может быть дело?

    У вас недоменная структура? Поднимите домен\настройте WINS.

    P.s. Попробуйте задавать PPTP-клиентам адреса из внутренней сети , т.е. выделите им неиспользуемый диапазон.
    P.p.s. Ответы на ваши вопросы есть в гугле - не ленитесь искать. Если собираетесь заниматься сетями - учите основы.

    нет домена нет, рабочая группа, в сенсе это указано
    pptp клиентам и так выдается адреса внутри локалки (192.168.7.201)








  • эти настройки получает клиент




  • Да уж . Ну и "каша" :(
    Главное правило настроек - не знаем\не понимаем для чего оно надо и как работает - ничего не пишем!

    И так :
    Вкладка Services:DHCP Server :

    WINS - удаляем.
    DNS - удаляем.
    Gateway - удаляем.
    Domain name - удаляем
    Domain search list - удаляем

    Вкладка VPN:VPN PPTP :
    Remote  address range - поставьте там 192.168.7.201 . DNS - 8.8.8.8, 8.8.4.4,  WINS - удалите вообще. Переподключайтесь и проверяйте.
    Не получается ? Включаем логирование fw, пробуем сделать обзор сети на подключенном PPTP-клиенте и смотрим, что происходит в логах fw.

    После всех манипуляций pfsense перезагружаем!

    P.s. Не забывайте , что в Windows поднятый PPTP-туннель становится автоматически шлюзом по-умолчанию для всего трафика!
    Учтите это.



  • а в каких именно логах смотреть?
    во вкладке Status: System logs: VPN - pptp logins отображаются пользователи которые подключились
    на следующей pptp RAW тоже логи относящиеся к подключению, тк после подключения стер все логи и попробовал обновить сетевое окружение, ни одной новой записи не появилось.
    на вкладке Firewall что то появлялось, но как оказалось это из за аськи или uTorrent



  • поднимите openvpn быстрей будет )) да и понадежней



  • @fox:

    поднимите openvpn быстрей будет )) да и понадежней

    да но с него не везде подключится можно



  • @frg:

    @fox:

    поднимите openvpn быстрей будет )) да и понадежней

    да но с него не везде подключится можно

    Эээ, если с чего-то "железного" - то да, но любая ОСь его поддерживаетс помощью родного клиента.



  • настроил все через OpenVPN
    сеть работает, на сервак и локальные компы могу зайти только по IP, по имени не заходит, а также сетевое окружение не видит компов. что еще посмотреть?
    да и помойму по VPN быстрее папки открываются чем через OpneVPN



  • "Галка" на Allow Netbios over OpenVPN стоит ? Далее - смените tun на tap (если не выйдет по-первому).
    И гуглите  - что такое WINS, DNS, hosts . Уже писал об этом на форуме.



  • вот какие настройки поставил
    под Allow Netbios over OpenVPN понималось Enable NetBIOS over TCP/IP? если да, то пробовал ставил разные режимы, все равно не хочет по имени компа заходить.
    tun на tap вообще подключаться не хочет






  • Если машин , к-ые требуют разрешения ip-адреса в имя немного - настройте hosts у себя на машине и не мучайтесь.



  • да мне то проще по ip зайти,
    сделал им файлопомойку на pfsense, чтобы они все сбрасывали туда, а не расшаривали каждый свои папки
    но заказчика никак не могу убедить что так проще, вот и мучаюсь
    прописать конечно можно, но как сделать так чтобы все это работало на уровне сети, те создал подключение и все ок
    желательно просто VPN, без скачки доп программ

    просто до этого у них стоял роутер ASUS rt68 помойму и там vpn поднимался нормально, можно было и сетевое окружение все попсмотреть, наверняка тут тоже можно что то сделать



  • и там vpn поднимался нормально

    Какой из vpn ? Вы OpenVPN пытаетесь настроить. Настройте OpenVPN используя  tap - он на канальном уровне работает. Как раз для NETBIOS-трафика самое-то.
    Либо же , если у клиентов pfsense указан в кач-ве DNS, настройте соответствие имя-адрес на нем.



  • как уже писал хочется поднять просто VPN сервер.
    в настройках VPN сервера ставил в качестве dns сервера 8.8.8.8 и 192.168.7.1
    и как настроить соответствие имя-адрес



  • @werter:

    Если машин , к-ые требуют разрешения ip-адреса в имя немного - настройте hosts у себя на машине и не мучайтесь.

    это же не даст изменений в сетевом окружении?
    это позволит заходить на компы по имени, типа вместо \192.168.7.100 можно будет написать вот это \k2
    а мне надо чтобы компы отображались в сетевом окружении



  • to frg
    tap настройте и не мучайтесь. У меня настроено и имена отображаются в сетевом окружении (только что проверял).



  • @Jetberry:

    to frg
    tap настройте и не мучайтесь. У меня настроено и имена отображаются в сетевом окружении (только что проверял).

    включаю TAP и он теперь вообще не подключается, как настроить то?

    вроде что то пошло соединяться, но теперь я не могу подключиться даже к шлюзу




  • включаю TAP и он теперь вообще не подключается, как настроить то?

    Это не значит, что вы сменили тип адаптера и все.
    tap - это канальный уровень OSI,  tun - сетевой.
    После смены типа адаптера на tap сделайте снова экспорт настроек клиента и используйте их в своем openvpn-подключении.



  • я после каждой смены настроек скачивал конфиг…





  • сделал все по инструкции
    соединение есть, на комп не заходит, соответственно сеть тоже не видит, ниже настройки






  • остальные настройки












  • да и простой vpn теперь не поднимается, хотя в настройках ничего не трогал



  • откатил настройки, попробобовал сделать заново, теперь через Open VPN по ip заходит, но в сетевом окружении по прежнему не появляются компы из подключенной сети, как это можно исправить?



  • требуется платная помощь в настройке:
    нужно сделать чтобы человек подключаясь из интернета по VPN(openVPN) заходя в сетевое окружение видел все компы находящиеся за Pfsense
    если кто готов прошу в личку за контактами



  • ну подняли туннель, открывайте удаленный рабочий стол на компьютере в локальной сети и всё у вас будет. чего огород городить ?
    тут или придётся в домен логиниться после поднятия туннеля или делать бридж для того чтоб широковещательные пакеты улетали в туннель.
    оба варианта кривые.
    уж если надо до зубовного скрежета, ну сделайте вашему "человеку" ярлычков на ресурсы локалки (только лучше по ip адресам) и пусть он их тычет.
    всё будет прекрасно



  • Может кто знает, что может происходить.
    По логу клиент подключается и через несколько секунд отключается снова. И так циклом.
    Вот пример:
    Mar 31 22:12:25 in masik 192.168.1.76
    Mar 31 22:12:44 out masik 192.168.1.76
    Mar 31 22:12:55 in masik 192.168.1.76
    Mar 31 22:13:14 out masik 192.168.1.76
    Mar 31 22:13:28 in masik 192.168.1.76
    Mar 31 22:14:36 out masik 192.168.1.76
    Mar 31 22:14:48 in masik 192.168.1.76
    Mar 31 22:15:07 out masik 192.168.1.76
    Mar 31 22:15:18 in masik 192.168.1.76
    Mar 31 22:15:57 out masik 192.168.1.76
    Mar 31 22:16:08 in masik 192.168.1.76



  • Ребят, ни у кого что-то идей нет, что такое ??? Чекбокс Disable Firewall Scrub в System: Advanced: Firewall and NAT поставил, но ничего не дало..


Log in to reply