VPN Konfiguration

[garciam]

Hallo

Ich möchte von meinem Laptop eine Verbindung ins Büro einrichten.

Im Büro ist eine Pix 501 Firewall mit fixer IP, die als VPN Server konfiguriert ist und auch funktioniert. Die Verbindung wird mit PPTP erstellt. IPSec, oder ähnliches wird nicht eingesetzt.

Auf meinem Laptop habe ich openvpn installiert und eine .conf Datei erstellt.

Das Problem ist nun, dass ich nicht genau weiss, was in der .conf Datei stehen muss. In den Beispielen die ich las, wird immer ein Zertifikat erstellt, IP Adresse für die VPN Verbindung eigetragen usw.

Die IP Adresse bekomme ich ja aber von der Pix zugeteilt und ein Zertifikat brauche ich bei PPTP doch nicht zu erstellen.

Wenn ich die .conf Datei mit openvpn --config /etc/openvpn/client.conf aufrufe bekomme ich Fehlermeldungen wegen den fehlenden Zertifikaten.

Kann mir jemand sagen wie ich die .conf Datei einrichten muss?

Danke!

[naibed]

hi,
keine Ahnung brauchst du überhaupt openvpn?

Schau mal hier http://www.lug-kr.de/cgi-bin/lugwiki.pl?VPNmitPPTP .

[garciam]

Danke für den Link!

Nein, openvpn braucht man scheinbar nur wenn ipsec usw. zum einsatz kommen soll. Für meine Zwecke reicht also pptp-linux.

Beim konfigurieren habe ich aber noch einige Probleme. In den Beispielen wird die Konfig immer über ein Modem gemacht und von PPP erzählt. Es ist mir nun noch nicht ganz klar welche Files ich konfigurieren muss, da ich über Kabel ins Internet gehe.

Also, wenn sich jemand auskennt, bitte melden, Danke!

[gms]

Kennst du dieses Howto http://pptpclient.sourceforge.net/howto-debian.phtml ?

Wenn du danach vorgehst, kannst du eigentlich nicht viel falsch machen.
Wenn doch, kannst du dann spezifischere Fragen stellen

Gruß
gms

[garciam]

Hallo

Danke für den Link. Auf diese Seite bin ich mitlerweilen auch gestossen. Mit pptpconfig konnte ich dann auch die pptp Konfiguration vornehmen und eine Verbindung aufbauen. Allerdings habe ich es noch nicht geschaft, dass ich dann auch mit RemoteDesktop auf einen Server zugreifen kann. Muss da noch schauen und werde mich nochmals melden, sollte ich es nicht hinbekommen.

Gruss

[garciam]

Hallo

Irgendwie will es nicht klappen. Ich bekomme zwar eine Verbindung zum VPN-Server, jedoch kann ich mich mit "Terminal Server Client" nicht verbinden. Ich habe verschiedene Optionen im pptpconfig ausprobiert, das Ergebnis ist aber immer das selbe.

Using interface ppp0pptpconfig: monitoring interface ppp0

Connect: ppp0 <--> /dev/pts/2
Warning - secret file /etc/ppp/pap-secrets has world and/or group access
Warning - secret file /etc/ppp/chap-secrets has world and/or group access
CHAP authentication succeeded
Cannot determine ethernet address for proxy ARP
local IP address 192.168.100.2
remote IP address 62.x.xx.xxx
pptpconfig: pppd process exit status 0 (started)
ip route add 62.x.xx.xxx via 192.168.123.254 dev eth0 src 192.168.123.50
RTNETLINK answers: File exists

pptpconfig: command failed, exit code 2
pptpconfig: routes added to remote networks
pptpconfig: connected

Kennt jemand die Warning und "faild, exit code2" Meldungen? Was läuft da schief?

Gruss

[gms]

so verhinderst du die warnings:

Code: Alles auswählen

chmod 600 /etc/ppp/*-secrets

so verhinderst du den ersten Fehler "cannot determine ethernet address for proxy ARP":
entferne "proxyarp" aus deinem options file

die anderen Fehler sind möglicherweise Folgefehler

Gruß
gms

[garciam]

Hallo gms

Die zwei "Warning" Meldungen erscheinen nicht mehr, danke! Leider kann ich noch immer keine Verbindung auf einen Server aufbauen. Der "command failed, exit code 2" erscheint leider immer noch.

Auf einer Russischen Seite werden genau diese Meldungen beschrieben, aber eben leider in Russisch.

Gruss

[gms]

Kommt diese Meldung "cannot determine ethernet address for proxy ARP" auch noch immer ?

[Power-Lamer]

Versuch es mal mit:

Code: Alles auswählen

pon $TUNNEL debug dump logfd 2 nodetach

und poste die ausgabe mal komplett hier bitte.

[garciam]

Hallo gms

Ja diese Meldung kommt noch.


Hallo Power-Lamer

Code: Alles auswählen

TUNNEL debug dump logfd 2 nodetach

kommt nur die Meldung "command not found"

Gruss

[gms]

versuchs einmal mit folgendem Kommando, ersetze aber "$TUNNEL" durch dem Namen, den du für diese Tunnelkonfiguration vergeben hast.

Code: Alles auswählen

/usr/bin/pon $TUNNEL debug dump logfd 2 nodetach

Hilfreich wäre auch wenn du folgende Dateien auf nopaste.debianforum.de posten würdest (Auch hier ist "$TUNNEL" durch den Namen des Tunnels zu ersetzen):

• /etc/ppp/peers/$TUNNEL
  /etc/ppp/options.pptp
  /etc/ppp/options
  /etc/ppp/chap-secrets

Und nicht vergessen die Accountdaten vorher "aussterndln"



Gruß
gms

[/list]

[garciam]

Die options.pptp Datei konnte ich nicht finden, auch nicht mit der Suchfunktion.

Code: Alles auswählen

/usr/bin/pon $TUNNEL debug dump logfd 2 nodetach 

Kann ich nicht ausführen. Ich habe kein Verzeichnis das pon heisst, sondern nur eine ausführbare Datei namens pon.

In der Datei options habe ich noch proxyarp auskomentiert, nun kommt die Meldung "Cannot determine ethernet address for proxy ARP" nicht mehr.

Die Dateien sind unter:
http://nopaste.debianforum.de/266


Die Ausgabe beim Verbindugsaufbau sehen nun so aus:

Using interface ppp0pptpconfig: monitoring interface ppp0

Connect: ppp0 <--> /dev/pts/3
CHAP authentication succeeded
local IP address 192.168.xxx.xxx
remote IP address 62.x.xx.xxx
pptpconfig: pppd process exit status 0 (started)
ip route add 62.x.xx.xxx via 192.168.xxx.xxx dev eth0 src 192.168.xxx.xxx
RTNETLINK answers: File exists

pptpconfig: command failed, exit code 2
pptpconfig: routes added to remote networks
pptpconfig: connected

Danke für eure Hilfe!

[gms]

Hallo Power-Lamer

Code: Alles auswählen

TUNNEL debug dump logfd 2 nodetach

kommt nur die Meldung "command not found"

Code: Alles auswählen

/usr/bin/pon $TUNNEL debug dump logfd 2 nodetach 

Kann ich nicht ausführen. Ich habe kein Verzeichnis das pon heisst, sondern nur eine ausführbare Datei namens pon.

na dann für diese ausführbare Datei mit obigen Parametern aus

Gruß
gms

[gms]

In der Datei options habe ich noch proxyarp auskomentiert, nun kommt die Meldung "Cannot determine ethernet address for proxy ARP" nicht mehr.

Dann kann es eigentlich fast nur mehr am Routing liegen. Poste bitte einmal die Ausgabe von "route" vor und nach dem Verbindungsaufbau

Gruß
gms

[edit]
bitte lokale Adressen (192.168...) bzw Netzwerkmasken (255....., 0....) nicht aussterndln
[/edit]

[garciam]

Hallo gms

Ausgabe vor:
Kernel IP Routentabelle
Ziel Router Genmask Flags Metric Ref Use Iface
localnet * 255.255.255.0 U 0 0 0 eth0
default 192.168.123.254 0.0.0.0 UG 0 0 0 eth0

Ausgabe nach:
Kernel IP Routentabelle
Ziel Router Genmask Flags Metric Ref Use Iface
62-x-xx-xxx.bus * 255.255.255.255 UH 0 0 0 ppp0
localnet * 255.255.255.0 U 0 0 0 eth0
default 192.168.123.254 0.0.0.0 UG 0 0 0 eth0

62-x-xx-xxx ist die externe IP von der Pix und 192.168.123.254 ist meine interne vom Router, das scheint zu stimmen.

Hier noch eine Ausgabe von ifconfig:

ppp0 Protokoll:Punkt-zu-Punkt Verbindung
inet Adresse:10.10.4.101 P-z-P:62.x.xx.xxx Maske:255.255.255.255
UP PUNKTZUPUNKT RUNNING NOARP MULTICAST MTU:1500 Metric:1
RX packets:8 errors:0 dropped:0 overruns:0 frame:0
TX packets:528016 errors:0 dropped:0 overruns:0 carrier:0
Kollisionen:0 Sendewarteschlangenlänge:3
RX bytes:73 (73.0 b) TX bytes:192301091 (183.3 MiB)

Sieht für mich eigentlich alles gut aus...

Gruss

[gms]

Die Tunnelpakete gehen anscheinend auch über das Tunnelinterface, bzw. die externe ip des servers ist anscheinend gleich wie die remote ip im tunnel.

Mit diesem Kommando änderst du die remote ip im tunnel, danach kannst du einmal versuchen den Server über die ip 10.10.4.1 zu erreichen:

Code: Alles auswählen

ifconfig ppp0 pointopoint 10.10.4.1

Gruß
gms

[garciam]

BeitragVerfasst am: 21.05.2005 19:33:28 Titel:
Die Tunnelpakete gehen anscheinend auch über das Tunnelinterface, bzw. die externe ip des servers ist anscheinend gleich wie die remote ip im tunnel.

Wie kommst du darauf? Inet Adresse ist die IP die ich aus dem VPN-Pool erhalte und P-z-P ist ja die öffentliche.

Wenn ich nun

Code: Alles auswählen

ifconfig ppp0 pointopoint 10.10.4.1

ausführe, habe ich ja zweimal eine Private 10.x.x.x.x Adresse, das kann doch nicht stimmen.

Ich denke, es wäre mal evtl. noch hilfreich wenn ich in das Firewall-Log schauen könnte wenn die Verbingung aufgebaut wird, aber das wird nicht grad einfach.

na ja, mal schauen, irgendwie muss es doch klappen

Jedenfalls, nochmals danke für die vielen Tipps!

[gms]

Ich denke, es wäre mal evtl. noch hilfreich wenn ich in das Firewall-Log schauen könnte wenn die Verbingung aufgebaut wird, aber das wird nicht grad einfach.

In Firewall-Logs zu schauen ist in solchen Fällen immer eine gute Idee

Die Tunnelpakete gehen anscheinend auch über das Tunnelinterface, bzw. die externe ip des servers ist anscheinend gleich wie die remote ip im tunnel.

Wie kommst du darauf? Inet Adresse ist die IP die ich aus dem VPN-Pool erhalte und P-z-P ist ja die öffentliche.

Folglich hat dein Server sowohl am ppp0 als auch am eth0 Interface die gleiche (öffentliche) ip. Diese Konfiguration ist zwar möglich, nur mußt du dann ein portabhängiges Routing (iptables) einrichten, wie sonst soll unterschieden werden, welcher Netzverkehr durch das Tunnelinterface und welcher außerhalb abgewickelt werden soll.

Wenn ich nun

Code: Alles auswählen

ifconfig ppp0 pointopoint 10.10.4.1

ausführe, habe ich ja zweimal eine Private 10.x.x.x.x Adresse, das kann doch nicht stimmen.

Ich bin zwar sehr geduldig, aber in diesem Fall muß es sein: RTFM
[edit]
insbesondere:
Remote IP of tunnel is the same as IP of server
http://pptpclient.sourceforge.net/routing.phtml#same-ip
[/edit]


Gruß
gms