Нужна тех помощь по VPN
Oct. 2nd, 2008 12:36 am![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
taibaПытаюсь наcтроить VPN, но что-то не выходит.
На своём компе создал "сервер" VPN по этой инструкции.
Создал для проверки подключение к ней на том же компе по этой инструкции - работает.
Однако любое внешнее подключение неуспешно, что по локалке, что по интернет.
Интернет - фрегатовский, PPPoE
Где копать и как проверить?
На своём компе создал "сервер" VPN по этой инструкции.
Создал для проверки подключение к ней на том же компе по этой инструкции - работает.
Однако любое внешнее подключение неуспешно, что по локалке, что по интернет.
Интернет - фрегатовский, PPPoE
Где копать и как проверить?
![[identity profile]](https://www.dreamwidth.org/img/silk/identity/openid.png){kind=small}
no subject
Date: 2008-10-01 09:47 pm (UTC)no subject
Date: 2008-10-01 09:56 pm (UTC)файрвол стандартный виндовый. щас вообще отключал.
no subject
Date: 2008-10-01 10:03 pm (UTC)Везде на участке провайдер - VPN-сервер.
no subject
Date: 2008-10-01 10:12 pm (UTC)no subject
Date: 2008-10-01 10:17 pm (UTC)выключитьвыбросить встроенный виндовый фаервол.no subject
Date: 2008-10-01 10:18 pm (UTC)no subject
Date: 2008-10-02 05:25 am (UTC)2) Run->cmd
3) запускаем VPN клиента и проблуем законнектиться
4) тут же, параллельно, в открытом в п.2 окне набираем netstat. должно появиться соединение на порт pptp (1723) сорс - клиент, таргет ИП - сервер, ESTABLISHED. запускать netstat периодически
5) внимально смотреть, какие сообщения выдает клиент. Connecting -> Connected - занчит, TCP:pptp ESTABLISHED, verifying user name... - а вот тут начинается самое главное. Вот тут открывается GRE соединение, которое некоторые идиоты-провайдеры не умеют пробрасывать из-за NATа или просто фильтруют, т.к. это не совсем IP. И вот если на этой фазе оно выдает типа "Сервер не ответил за заданное время",- т.е., никакой осмысленной ошибки, типа неверного имени и пароля, или, мол, запрещено политикой и т.п.,- это означает, что не открылось GRE. На стороне сервера tcpdumpом это выглядит так: TCP:pptp - идет обмен, вдруг сервер посылает GRE (фактически, начинает устанавливать IPSec) - ответа нет. Посылает еще раз - ответа нет. Таймаут, болт, развод и девичья фамилия втихаря,- у тебя таймаут.
Эта ситуация, если таки не локальные фильтры, не лечится без привлечения (смены) провайдера. Варианты: запросить реальный IP (не всегда работает, если у тварей таки по пути есть фильтры), капать на мозги, чтобы изменили настройки и т.п.
Еще вариант: выкинуть стандартный виндовый VPN к хомякам и пойти сюда. Это, по нашему опыту, юзает только TCP;UDP без "экзотики", пугающей тупых провайдеров. Если у тебя МТС, попробуй пойти через ихний ГПРС - там реальный ИП и все работает на ура (я сам так пользуюсь). Если тут не работает - однозначно проблемы на твоей стороне, если работает - однозначно на провайдерской. С киевстаром и пр. не знаю, с Утелом точно живет, хотя ИП левый.
no subject
Date: 2008-10-02 06:17 am (UTC)no subject
Date: 2008-10-02 06:28 am (UTC)VPN Server - [internet cloud over Fregat over pppoe] - home "server" (first VPN client but shares internet over home network) - home PC (second VPN client connected to "home "server"") ???
Я описал ситуацию без "home PC (second VPN client)", т.е., где-то ВПН сервер, у тебя клиент через пппое через фрегат. Если ты не можешь законнектиться на впн сервер даже без любых провайдеров, просто по своей внутренней топологии - то проблемы однозначно у тебя (как минимум у тебя, до проблем провайдера ты еще мог и не дойти).
no subject
Date: 2008-10-02 07:52 am (UTC)Фрегат через PPPoE (с шарой для другого моего компа) - (по LAN_1) - Моя машина ака "Сервер VPN" - (по LAN_2) - Вторая машина
no subject
Date: 2008-10-02 07:52 am (UTC)no subject
Date: 2008-10-02 08:07 am (UTC)А уже если ото все работает, то пытаться установить ВПН соединение и внимательно смотреть, какие фазы прошли, а на какой фазе и с какой ошибкой оно отвалилось. Аццки полезно на стороне сервера слушать tcpdumpом.
no subject
Date: 2008-10-02 09:19 am (UTC)no subject
Date: 2008-10-03 09:42 am (UTC)no subject
Date: 2008-10-03 09:49 am (UTC)no subject
Date: 2008-10-03 09:49 am (UTC)no subject
Date: 2008-10-03 10:48 am (UTC)no subject
Date: 2008-10-03 11:13 am (UTC)ответ техподдержки
Date: 2008-10-08 09:49 pm (UTC)> создать подключение, т.к. судя по всему, у Вас NAT не
> пропускает IP-протокол 47 (GRE). Просьба сделать такую
> возможность в ближайшее время
Если у вас реальный адрес - Нат не применяется.
mtu на интерфейсе - 1480. Учтите это при построении тунеля. GRE - не блокируется.
как учесть mtu?
Re: ответ техподдержки
Date: 2008-10-09 08:19 am (UTC)Обычный ВПН не обращает внимания на МТУ, а на ПППоЕ МТУ так и будет - слегка уразыннй от стандартного езернетового 1500. Возможно, проблемы будут при построении "настоящего" IPSec через ПППоЕ, напр., на циску. Миллионы людей ;-) работают с ВПН овер ПППоЕ и не испытывают проблем, если, конечно, таки фильтров нету.
Re: ответ техподдержки
Date: 2008-10-09 08:24 am (UTC)Re: ответ техподдержки
Date: 2008-10-09 08:39 am (UTC)