2 VPN-сервера. Организация доступа.

[Андрей]

Ну получается все правильно. Она (железка) включает опцию Ip routing по умолчанию.
делаю

Код: Выделить всё

(config)#no ip routing

Получаю:

Код: Выделить всё

#show run
Current configuration : 811 bytes
!
version 12.2
service single-slot-reload-enable
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname Router
!
boot-start-marker
boot-end-marker
!
!
redundancy
 no keepalive-enable
 mode hsa
enable secret 5 .................
!
ip subnet-zero
no ip routing
!
...


Если я добавляю

Код: Выделить всё

(config)#ip routing

то на выводе будет

Код: Выделить всё

#sh run
Current configuration : 756 bytes
!
version 12.2
service single-slot-reload-enable
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname Router
!
boot-start-marker
boot-end-marker
!
!
redundancy
 no keepalive-enable
 mode hsa
enable secret 5 .................
!
ip subnet-zero
!
!
...

Как можно запретить подключение по telnet На внешнем порту (на 83.*.*.186) и разрешить его только на внутреннем - 89.237.37.* и то с определенного ip?

Допустимо ли:

Код: Выделить всё

 ip access-list extended e1-in
  !
  permit icmp any host 83.*.*.186
  deny <все остальные протоколы> any host 83.*.*.186
  !
  interface Ethernet /1/0/0
   ip access-group e1-in in

чтобы отбросить все не желательное на вход?

[root]

чтобы отбросить все не желательное на вход?

в статье, ссылку на которую я давал выше, показано как это сделать в пункте 18

[Андрей]

показано как это сделать в пункте 18

Получается на CISCO мы задаем только вход по telnet.
Ну тогда можно отрезать как:

Код: Выделить всё

c3560G(config)# ip access-list standard TELNET
c3560G(config-std-nacl)# deny any
c3560G(config-std-nacl)# exit
c3560G(config)# line vty 0 15
c3560G(config-line)# access-class TELNET in

И опять же, а если у меня line vty 0 4?

Я почему спрашиваю.
В статье http://www.emanual.ru/download/3579.html сказано, что есть нужда в отключении ненужных сервисов и т.п.
Я что подумал - все равно я захожу на CISCO через консольный кабель.
Можно ли отключить на ней все, кроме нужного для ip routing так, чтобы она сама не пинговалась и т.п. одним словом чтоб её как бы не было.

[root]

И опять же, а если у меня line vty 0 4?

ну если ты хочешь применить тока для 0-4 то ессно просто подправь команду

Можно ли отключить на ней все, кроме нужного для ip routing так, чтобы она сама не пинговалась и т.п. одним словом чтоб её как бы не было.

трафик запрещается списком контроля доступа - access-list
соответственно запрети все что хочешь и применяй аксес лист там где он тебе необходим
Типы аксес листов: Access Lists (Router ACL, Port ACL, VLAN ACL, MAC ACL)

Андрей, я помоему уже все разжевал и рассказал, осталось тока переварить и сделать. Чтобы переварить нуна почитать, направление что читать я дал.
Если ты не хочешь этого делать, то давай так: ты даешь мне доступ, я все настраиваю, ты оплачиваешь мою работу и дальше саппортишь сам или я (за отдельную оплату)
т.к. я уже не знаю что тебе ещё можно рассказать по сабжу

[Андрей]

Запустил CISCO.
Перевел основной NAS на новую подсеть - все работает.
Проблема теперь в другом.
Новый сервер NAS не выпускат машины в инет, точнее ping на внешние хосты с машин клиентов есть, даже на DNS провайдера ping есть, а вот что-то запросить не получается.
Делаю и получаю:

Код: Выделить всё

C:\Documents and Settings\->nslookup mail.ru
DNS request timed out.
    timeout was 2 seconds.
*** Can't find server name for address 62.165.32.250: Timed out
DNS request timed out.
    timeout was 2 seconds.
*** Can't find server name for address 62.165.33.250: Timed out
*** Default servers are not available
Server:  UnKnown
Address:  62.165.32.250

DNS request timed out.
    timeout was 2 seconds.
DNS request timed out.
    timeout was 2 seconds.
*** Request to UnKnown timed-out

DNS указываю вручную в свойствах pptp подключения.

С самой машины все раздается куда удачнее. В чем проблема может быть?
Даже не представляю куда смотреть. Проверил все, уже сделал так,как было на старой машине (на основном NAS) - все равно не работает.

Машина на:

Код: Выделить всё

# uname -a
FreeBSD nas.localhost 7.2-RELEASE FreeBSD 7.2-RELEASE #0: Fri Dec  4 06:03:51 YEKT 2009     nas@nas.localhost:/usr/obj/usr/src/sys/nas_  i386


Заранее благодарю за ответ.

[root]

DNS сервера указываются в /etc/resolv.conf
смотри что написано там и соответственно сервер должен мочь отправлять трафик и принимать трафик от IP-адреса DNS сервера

раз у тя таймауты то варианта 2:
1. твой сервер не может достучаться до IP DNS сервера
2. DNS сервер не работает

[Андрей]

DNS сервера указываются в /etc/resolv.confсмотри что написано там и соответственно сервер должен мочь отправлять трафик и принимать трафик от IP-адреса DNS сервера

62.165.32.250
В том и дело, что с сервера nslookup проходит, а от клиента нет.
В подтверждение:

Код: Выделить всё

# nslookup ya.ru
Server:         62.165.32.250
Address:        62.165.32.250#53

Non-authoritative answer:
Name:   ya.ru
Address: 77.88.21.8
Name:   ya.ru
Address: 93.158.134.8
Name:   ya.ru
Address: 213.180.204.8


раз у тя таймауты то варианта 2:1. твой сервер не может достучаться до IP DNS сервера

Клиент не может, точнее пинг есть на сервер DNS, а вот запросы к нему не выполняются.

2. DNS сервер не работает

Он точно работает, т.к. на первом NAS все работает отлично.

От клиента трассировка выполняется, нормально. А страницы сайтов по Ip не открываются.
т.е. пишу в браузере:

Код: Выделить всё

213.180.204.8

получаю чистый лист.

в rc.conf:

Код: Выделить всё

gateway_enable="YES"

NAT задается правилами pf.


Добавил позже
Ничего не понимаю.
в фаере закоментировал все кроме ната и сделал
pass in quick all
pass out quick all

в итоге все заработало, но без защиты.
Правила использовал от FreeBSD 6.2, на FreeBSD 7.2.
Получается правила не подходят?

Добавил еще позже
Переписал правила. Все пошло вроде нормально.

[root]

Получается правила не подходят?

синтаксис правил не менялся

В том и дело, что с сервера nslookup проходит, а от клиента нет.

значит не работал NAT
если у клиента что то не работает используй tcpdump, он всегда поможет

Переписал правила. Все пошло вроде нормально.

поменял имена интерфейсов скорее всего

[Андрей]

поменял имена интерфейсов скорее всего

Ифейсы не трогал.

синтаксис правил не менялся

Ну смотри.
На FreeBSD 6.2

Код: Выделить всё

# uname -a
FreeBSD Billing 6.2-RELEASE FreeBSD 6.2-RELEASE #0: Wed Sep 12 01:41:09 YEKST 2007     titus@Billing:/usr/obj/usr/src/sys/OLEG  i386

pf работает на этом правиле:

Код: Выделить всё

# dns
pass in quick proto {tcp, udp} from any to <me> port domain flags S/SA keep state

Пишу это же правило в pf на FreeBSD 7.2:

Код: Выделить всё

# uname -a
FreeBSD nas.localhost 7.2-RELEASE FreeBSD 7.2-RELEASE #0: Fri Dec  4 06:03:51 YEKT 2009     nas@nas.localhost:/usr/obj/usr/src/sys/nas_  i386

и не работает.
Переписываю правило на

Код: Выделить всё

# dns
pass in quick proto {tcp, udp} from any to any port domain flags S/SA keep state

И от клиента появляется nslookup.

значит не работал NAT

Ну это если когда

Код: Выделить всё

pfctl -d

При VPN подключении к машине поднимается ng* интерфейс и назначается ip для клиента, заранее указанный в БД.

Код: Выделить всё

# pfctl -s state
all tcp 172.16.0.2:4451 -> 89.237.37.155:51592 -> 205.188.7.120:5190       ESTABLISHED:ESTABLISHED

Получается NAT работает.

Вот сейчас сижу и думаю как лучше сделать, а то получается открыл порт на вход и выход - клиент работает. Как только перекрыл направление - все встает.
Попробую ман освоить, хоть и не раз читал http://house.hcn-strela.ru/BSDCert/BSDA ... pcs02.html .

[root]

Ну смотри.

смотрю и вижу, что в первом правиле используется таблица "<me>"

Код: Выделить всё

Таблицы, пример:
    table <goodguys> { 192.0.2.0/24 }
    table <rfc1918> const { 192.168.0.0/16, 172.16.0.0/12, \
       10.0.0.0/8 }
    table <spammers> persist

    block in on fxp0 from { <rfc1918>, <spammers> } to any
    pass  in on fxp0 from <goodguys> to any

содержимого этой таблицы ты не указал, как и IP-адреса абона у которого не работает, содержится ли он или его подсеть в этой таблице
потому я предполагаю, что IP абона или его подсети в этой таблице нету, вот правило и не отрабатывается
вообще странный выбор имени таблицы, т.к. "me" обычно означают все IP-адреса на всех ифейсах этой системы

во втором правиле юзается "any" что означает "любой IP", ессно оно и работает

отсюда делаю вывод:
ты пишешь правила, но не совсем понимаешь что они означают, т.е. ты не разбираешся в возникшем вопросе, а просто тыкаешь "что б заработало"
такой подход не верен.

Попробую ман освоить, хоть и не раз читал

видимо плохо читал, читай еще
я бы читал из первоисточника, я приводил уже тебе эту ссылку не раз: http://www.openbsd.org/faq/pf. Слаб в инглише ? есть http://translate.google.ru/ или прям там на openbsd.org жмем на ru и получаем ман на русском