LINUX.ORG.RU

Подмена пары ip+mac и VPN - поделитесь опытом plz


0

0

Ситуация:
есть router маскарадящий внутреннюю сетку наружу.
есть "умные" клиенты подменяющие пару ip+mac

Решение:
Насколько я понимаю (в теории (c)5 el.) можно сделать тунельный канал до роутера каждому клиенту, а дальше он дешифрует и отправит в инет отмаскараденые пакеты

Что сделано:
Слил FreeS/Wan поставил посмотрел, почитал и понял что для этой задачи он непригоден т.к реализует связку сеть-сеть, а не клиент-клиент. Причем клиенты Win2k.

Примерная реализация:
вроде есть демон pptpd который осуществляет туннелирование. Но вот вопрос FreeS/Wan и pptp это нечто общее? и осуществляет ли pptpd шифрацию траффика?

Вопрос:
Накинте хотя бы схему _как_ решить такую задачу и какими средствами учитывая w2k клиентов?


Re: Подмена пары ip+mac и VPN - поделитесь опытом plz

>Но вот вопрос FreeS/Wan и pptp это нечто общее?
нет это совершенно разные вещи.. разные протоколы..

Бери PopTop, если нужно шифрование трафика то к нему есть патчи.
Но я бы не стал ставить шифрование, во-первых пароли poptop вполне надежно передает по chap протоколу, а во вторых - шифрование еще больше увеличит задержку прохождения пакетов через nas, да и ресурсов одной машины может со временем нехватить при росте числа одновременно работающих сессий..

ak ()

Re: Подмена пары ip+mac и VPN - поделитесь опытом plz

Поставил pptpd работает, но возникли следующие вопросы:
1) ну допустим авторизуемся на router'е
!допустим! в этом случае все бегает.
Что мешает нам нафиг отрубится от VPN и выставив на сетевуху тот же ip что и при VPN соединении воспользоватся услугами masq?

Matrix ()

Re: Подмена пары ip+mac и VPN - поделитесь опытом plz

Мешает правильно настроенный пакетный фильтр -)

пропускаешь на вход сервера доступа только 1) пакеты с кодом ip протокола 47 - iptables -A INPUT -p 47 bla bla... 2) пакеты на tcp порт 1723

ak ()

Re: Подмена пары ip+mac и VPN - поделитесь опытом plz

Понял, тут назрел второй вопрос (последствия теста):
на рутере на внешнем интерфейсе (eth1) пустил pptp
подрубился к инету черт знает откуда, подконектился к рутеру на VPN, выдал им же (рутером) адрес локальной сети класса C (вся локалка живет на eth0) 192.168.2.57 (соотв. локалка 192.168.2.*), делаю ping какой нить локальной машины на рутере tcpdump'ом вижу на ppp0:
echo request
...
echo request
Ладно нафигачил правил - все равно с мертвой точки не сдвинулось :(
далее залез по ssh на машину в локальной сети (x) (nat'ом соединение пробросил) делаю с этой машины ping на ppp0 на рутере, смотрю tcpdump'ом на ppp0 (рутера), вижу:
echo request
echo replay
echo request
echo replay

однако почему то машина x локальной сети не получает ответов на свои echo request
иль я iptables криво настроил?

Matrix ()

Re: Подмена пары ip+mac и VPN - поделитесь опытом plz

Решил - криво был iptables настроен.
Последняя видать трабла:
Реально ли MS Network увидеть?
tcpdump на ppp0 (vpn-host) показывает что udp броадкасты идут а вот ответа на них нет :(
на локальной машине broadcast'ов с ppp0 не видно хоть убей, хотя весь другой траффик - ходит :(, вот что я нанастраивал:
iptables -A FORWARD -p tcp -o ppp0 -d 192.168.2.57 -s 0/0 -i eth0 -j ACCEPT
iptables -A FORWARD -p tcp -i ppp0 -d 0/0 -s 192.168.2.57 -o eth0 -j ACCEPT
iptables -A FORWARD -p udp -o ppp0 -d 192.168.2.57 -s 0/0 -i eth0 -j ACCEPT
iptables -A FORWARD -p udp -i ppp0 -d 0/0 -s 192.168.2.57 -o eth0 -j ACCEPT

Matrix ()

Re: Подмена пары ip+mac и VPN - поделитесь опытом plz

Вот блин еще вопрос:
каким образом надо писать правила masq для iptables если входящий/выходящий интерфейсы могут быть разными?!
т.е один и тот же ip может быть как ppp0 а может и как ppp1 а может ppp2 :(

Matrix ()

Re: Подмена пары ip+mac и VPN - поделитесь опытом plz

man iptables ) ppp+

ak ()

Re: Подмена пары ip+mac и VPN - поделитесь опытом plz

А насчет MS-Network? netbios бродкасты не ходят с eth на ppp

Matrix ()

Re: Подмена пары ip+mac и VPN - поделитесь опытом plz

броадкасты ходят только внутри одной сети.. нужно настаивать маршрутизауию отдельно как-то.. или ставить на рутер nmbd..
p.s. я могу ошибаться

ak ()

Re: Подмена пары ip+mac и VPN - поделитесь опытом plz

решение Wins, на любой машине внутри сети. :)

Matrix ()

Re: Подмена пары ip+mac и VPN - поделитесь опытом plz

mudrenno.... freswan tunnel mode sozdaet tunnel mezhdu dvumya subnet bez vsyakix problem. vse proxodit: i tcp i udp, setka vidit setku bez problem. brodkast ni prichem. net use budet pod windami delat' mount bez problem. vchem problema to? esli slozhno, to bros' freeswan, mozhno i na ssh tunnels nadelat' ot ssh servera do ssh servera...

anonymous ()

Re: Подмена пары ip+mac и VPN - поделитесь опытом plz

Хотелось бы очень узнать такую вещь: Как считать в таком случает траффик? Ведь дело все том что если считать трафик по ip то изменив ip не зависимо от идентификации через VPN статистика будет учитыватся на другова пользователя. Проблема как привязать ip к логину!!! Вся пакость такой ситуации еще заключается и в том что pptpd как я заметил на практике имеет один закедон иногда при отключении пользователя от сервера, ppp соединение не разрывается а начинает в бешеных темпах накручивать траффик на этот интерейс по моему с расчетной скоростью на которую этот интерфейс способен, хотя на практике этого траффика в помине нет! и естественно пользователь еще оказывается как вне сети пока вручную не убить ppp процесс. Очень хочется получить коментарий по этому поводу.

Заранее спасибо, Вадим

anonymous ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.