VPN въпрос

Задачата е следната: Трябва да се осъществи VPN между машина на 98, която има връзка с интернет, и win2k server без AD, който е във вътрешна мрежа, която има за gate, NAT, DNS един Debian. Разбрах, че трябва да се разреши протокол 47 и порт не знам кой си на линукса, но не ми стана съвсем ясно как точно да се нагласи маскарадинга. Връзката трябва да може да се инициира отвън, т.е. от 98-цата.
Изобщо приемам идеи всякакви.
Благодаря.

toq VPN purvo ako shte go pravish na osnovata na PPTP protokola prosto mozhesh da zabravish za sigurnost... na MS mu e tolkova kachestveno kriptiraneto na VPN-a kolkoto i magareto pishe na pisheshta mashina... ili s 2 dumi kazano hash cryptinga koito prilagat ot MS e schupen i tunela se snifi bez nikakvi problemi...

no ako ne gonish security... nqmash griji..

Learn to live freely, learn Linux !

Добре, имам ли алтернатива, при положение, че VPN-а трябва да е между 98-цата и сървъра?
Може би някакъв third-party software? Ако имаш идеи, кажи ги. Оплюваш нещо без да обясниш как точно може да се разбие сигурността на такъв канал, и най-важното - не даваш никаква алтернатива. Нямам опит с VPN, но за пръв път чувам, че MS VPN-а бил несигурен, възможно е, но това твърдение ми звучи малко голословно.
Звучи ми като просто плюене на всичко което е от MS, само защото си фен на Линукс да речем

За да изказваш толкова категорично мнение, би трябвало да си имплементирал поддържаните протоколи и доказано "пробил" всичките варианти за encription.
Би ли споделил кои от следните протоколи ти беше най-трудно (най-лесно) да преодолееш:
- PAP
- SPAP
- CHAP
- MS-CHAP
- MS-CHAP v.2

Също би ми било интересно да споделиш впечатленията си при имплементирането на различните варианти за използване на Smart Cards, или цифрови сертификати...
Изобщо нещо знаеш ли за Kerberos V5?
Изреждам различни протоколи и стандарти релевантни към темата security, като знам , че не всички са непосредствено или единствено свързани с VPN сигурността. Защото проблемите свързани по някакъв начин със сигурността на компютърните мрежи имат много аспекти, и за постигане на някакво адекватно на нуждите (забележи, адекватно, а не абсолютно) ниво е нужно не отделно или решение на парче, а концепция, план, стратегия. Или съвкупност от решения.

Нейсе, вече съм доста off-topic, не държа да се конфронтирам с теб, но не харесвам разни неаргументирани изцепки, провокирани вероятно от някакви "фенски" пристрастия.
А, и ако не те затруднява, пиши на кирилица.

Аре със здраве

Какво трябва да разбираме под описанието, че сървъра е част от вътрешната мрежа?
Ако е зад някакво прокси, firewall, няма непосредствена свързаност към интернет (разбирай LAN интерфейс с реален адрес), няма да може да стане. Поне не директно.
Имаш ли възможност на Proxy/Firewall да "побликуваш" навън машина от вътрешната мрежа? Или някакъв вариант за reverse proxy?
За съжаление не познавам Debian и не мога да ти дам решение за него, но ако въпросите ми могат да ти бъдат от полза...

Аре със здраве

На линукса инсталираш някакъв pptp сървър (например PopTop) и 98-мицата се свързва с него чрез вградените в нея възможности. Веднъж свързала се тя може да има достъп до цялата вътрешна мрежа включително и уиндоус сървъра по некриптиран протокол (там вече няма опасност от подслушване). Ако не трябва да има достъп до някъде или в частност ако трябва да има достъп само до сървъра и до нищо друго - това го правиш с iptables на линукса.

Linux otdavna ima poddryjka za 128 bit MPPE. Taka che i vryzkata ti s PPTP shte e cryptirana.

pptpclient.sourceforge.net - > tam shte vzemesh modul za kernela i pppd koeto da poddyrja mppe.

PPTP server -> [линк]

Takova reshenie sam pravil, samo che nikoga ne sam se logval na PPTP servera ot masqueradnata mashina.

Hich ne e losho , pone nqmash nikvi griji s windowsite.

Drugoto koetom oga da predloja e CIPE. Mislq che ima client za windows.

А защо просто не се мапне един порт на рутърчето към 2к-то. Така хем ще можев да се закача директно към 2000-то като към впн сървър, хем ще си спести главоболията за конфигуриране на поптоп.

Надеждата умира последна...
Но все пак умира

Да, точно с iptables искам да го направя, та въпроса ми беше как точно?
Явно никой не е правил такова нещо, от постингите досега не видях нито едно конкретно предложение, което да отговаря на заданието във въпроса.
Не искам да се връзвам към линукса, а към уиндоуския сървър във вътрешната мрежа.
Това което знам е, че се ползва протокол с име gre и с номер 47, както и порт, който в момента забравих точно кой беше.

после ще се окаже че трябва до още един сървър да има достъп... пък по някое време ще му се прииска да печата на принтера на някое PC от мрежата и т.н. .... Варианта който написах по-горе е по-изчистен и по-универсален.

Моля ви не разводнявайте нещата. Ако можете да ми дадете точен и конкретен отговор на задачата, ще съм ви благодарен.
Не искам да правя VPN до линукса.
Ще съм особено благодарен, ако някой е правил такова нещо и ми каже точно какви правила в iptables е задал.

iptables -t nat -A PREROUTING -p tcp --dport 1723 -j DNAT --to-destination 192.168.0.2

където 192.168.0.2 ти е адреса на уиндоус 2000-то, а 1723 е порта за pptp.

Пробвай го и ако не стане - опитай се да установиш какво точно не става и пиши - що го измислим!

Това е според мен непълно. Трябва да се упомене и протокол 47. А даже някъде видях да споменават и протокол 37.
Аз писах такива правила, но понеже не проработи исках да видя нещо, което работи със сигурност някъде.
Четох за пач на ядрото дето бил необходим за тази работа, но не съм сигурен дали наистина ми трябва защото на някои места пише, че и без него работи.
Освен това не съм сигурен как линукса ще знае на кого да прати отговора само с това правило. Т.е. това правило което си написал ще препрати заявката от външната машина до сървъра, дестинейшън порт 1723, който е да кажем на 192.168.0.2, но дали отговорът на сървъра ще се върне адекватно навън към машината инициатор на връзката?

openvpn има порт и за Windows. Хубавото е че можеш да инициираш конекцията от машината зад MASQ.

Ти изяснил ли си за себе си какви услуги искаш да ползваш от тоя уиндоус? Първо си изясни това, после разбери как работят тия услуги (какъв тип връзки ползват, какви портове, правят ли обратни връзки и т.н.) и накрая си направи схема на правилата които ще ти осигурят работата на тия връзки.

"Освен това не съм сигурен как линукса ще знае на кого да прати отговора само с това правило." - тия които са писали ядрото са се сетили за тази особеност...

Но нали по същество трябва да се осъществи VPN канал между външен хост и Windows машина без реална "видимост" отвън, т.е. от вътрешната мрежа. И едва тогава през тоя канал ще се носи каквото там ще се носи.

Аре със здраве

аз затова му писах на момчето да си осигури преминаването на pptp, но той си настоява за някакви си портове 37 и 47 ?!? Явно не знае какво точно иска да стане...

Това е обобщение на написаното от DVD и със сигурност ще работи.:
/sbin/iptables -t nat -A PREROUTING -d $EXTERNALADDRESS -p $PROTOCOL --dport $vpnport -i $EXTERNALINTERFACE -j DNAT --to-destination $VPNSERVERADDRESS

Ако искаш да си мап-неш повече от 1 порт (43 или там каквито си мислиш, че трябва да мап-неш) продължаваш в същия дух като заменяш $vpnport със съответните портове.
Между другото като се опитваш да направиш VPN връзката трябва да се обръщаш към линукс рутера си ! (казвам го само за пълнота) :-))

По-добре на колене пред бара,
отколкото прав пред струга !

той сам щеше да се сети като се опита да направи връзка примерно с 192.168.0.Х и му даде "No route to host"

знае какво иска, ама ти не вдяваш...
Трябва да се пропусне през раутъра TCP порт 1723 и ПРОТОКОЛ 47, известен като протокол GRE. Всичкото това да се насочи към Вин2000 от вътрешната мрежа. Както виждаш, не е твърде много и е доста ясно, нали?

Как се прави не знам, знам че разни раутърчета като Netopia го правят това, щото съм го правил на тях, и тия раутърчета използват ОС на основата на линукс/юникс...