Hallo,
Ich hab hier kleines problem bzg. pptp-verbindungen vom client (extif) zu
meinem server. Die verbindung zum server im internen netz funktioniert
wunderbar, nur von ausserhalb (internet) nicht.
Hier ein auszug meiner firewall (input-chains) auf dem pptp-server:
.... schnipp
$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A INPUT -i $INTIF -s $INTLAN -j ACCEPT
# PPTP incoming
$IPTABLES -A INPUT -i $EXTIF -p tcp --dport 1723 --syn -m state --state NEW -j ACCEPT
$IPTABLES -A INPUT -i $EXTIF -p gre -m state --state NEW -j ACCEPT
# ssh incoming
$IPTABLES -A INPUT -i $EXTIF -p tcp --dport 22 -j TCPACCEPT
# ESTABLISHED und RELATED dürfen rein
$IPTABLES -A INPUT -i $EXTIF -m state --state ESTABLISHED -j ACCEPT
$IPTABLES -A INPUT -i $EXTIF -p tcp --dport $UNPRIVPORTS -m state --state RELATED -j TCPACCEPT
$IPTABLES -A INPUT -i $EXTIF -p udp --dport $UNPRIVPORTS -m state --state RELATED -j ACCEPT
# alles andere droploggen
$IPTABLES -A INPUT -j LDROP
... schnipp
Eine verbindung von ausserhalb endet mit einem:
Feb 7 12:09:02 finup pptpd[30848]: CTRL: Client x.x.x.x control connection started
Feb 7 12:09:02 finup pptpd[30848]: CTRL: Starting call (launching pppd, opening GRE)
Feb 7 12:09:02 finup pppd[30849]: pppd 2.4.2 started by root, uid 0
Feb 7 12:09:02 finup pppd[30849]: Using interface ppp1
Feb 7 12:09:02 finup pppd[30849]: Connect: ppp1 <--> /dev/pts/1
Feb 7 12:09:02 finup pptpd[30848]: GRE: xmit failed from decaps_hdlc: Operation not permitted
Feb 7 12:09:02 finup pptpd[30848]: CTRL: PTY read or GRE write failed (pty,gre)=(4,5)
Feb 7 12:09:02 finup pptpd[30848]: CTRL: Reaping child PPP[30849]
Feb 7 12:09:02 finup pppd[30849]: Modem hangup
Feb 7 12:09:02 finup pppd[30849]: Connection terminated.
Feb 7 12:09:02 finup pppd[30849]: Exit.
Gegenprobe - firewall aus, funktioniert wunderbar.
Ist also ein FW-problem. Allerdings wüsste ich jetzt nicht, welche rules ich
noch einfügen muss, damit externe connections akzeptiert werden.
SSH z.B. funktioniert auch von ausshalb einwandfrei. Ein nmap von aussen bestätigt mir auch, daß pptp und gre offen sind.
Hat jemand ne idee ?