VPN PPTP conecta mas nao autentica

mattiell00
(usa Gentoo)

Enviado em 03/03/2008 - 20:20h

Boa noite a todos, alguém me de uma luz, quando disco para o servidor VPN cujo ip listado abaixo, o
cliente do windows diz chega até lá, inicia a autenticação porem não consegue, sempre da user ou senha
inválidos.
alguns dizem que meu kernel não tem suporte, porem quando dou modprobe ip_gre e em seguida
lsmod o ip_gre aparece certinho, indicando que o modulo esta presente e foi lido.
Outros dizem que as regras do iptables esta erradas, por favor, alguém me de uma luz, aqui mesmo no VOL já li vários artigos e na internet, porem nada que pudesse realmente me ajudar nesta difícil situação técnica.
Se alguém tiver alguma idéia fico grato.
Se algum iluminado puder corrigir essas regras eu fico grato.
As configurações

#IP da maquina na minha rede local que eu preciso que acesse a VPN pptp do maldito windows
192.168.1.6

#IP da minha interface eth2 que fica na internet
200.99.48.242

# IP do servidor da VPN
200.247.209.150


#lendo o modulo GRE
modprobe ip_gre

#Liberando as portas
iptables -A INPUT -j ACCEPT -p tcp --dport 1723
iptables -A INPUT -j ACCEPT -p tcp --dport 230
iptables -A INPUT -j ACCEPT -p tcp --dport 200

#lendo liberando entrada e saida do protocolo GRE
iptables -A INPUT -j ACCEPT -p gre
iptables -A OUTPUT -j ACCEPT -p gre
iptables -A INPUT -p 47 -j ACCEPT
iptables -A OUTPUT -p 47 -j ACCEPT

# regras
iptables -t nat -A PREROUTING -p gre -d 200.175.48.242 -j DNAT --to 192.168.1.6
iptables -A FORWARD -p gre -s 192.168.1.6 -d 200.247.209.121 -j ACCEPT
iptables -A INPUT -p tcp --dport 1723 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -d 200.175.48.242 --dport 1723 -j DNAT --to 192.168.1.6:1723
iptables -A FORWARD -p tcp -s 192.168.1.6 -d 200.175.48.242 --dport 1723 -j ACCEPT

hduran
(usa Ubuntu)

Enviado em 08/03/2010 - 09:27h

Cara... estou com o mesmo problema! você conseguiu resolver como essa situação.... minha conexão bate no servidor... mas não autentica... estou em desespero!

Obrigado!

hduran
(usa Ubuntu)

Enviado em 08/03/2010 - 11:10h

Bom... eu consegui para conectar 1 pessoa na VPN... agora preciso fazer essa regra mais genérica... para mais de uma pessoa conectar utilizando a mesma porta....

Segue abaixo minha solução para APENAS 1 VPN

#lendo o modulos
modprobe ip_nat_pptp
modprobe ip_conntrack_pptp
modprobe ip_gre

# Regras para funcionar
iptables -t nat -A PREROUTING -p tcp -d 189.47.xxx.xxx --dport 1723 -j DNAT --to 10.xxx.xxx.28
iptables -t nat -A PREROUTING -p udp -d 189.47.xxx.xxx --dport 1723 -j DNAT --to 10.xxx.xxx.28
iptables -t nat -A PREROUTING -p gre -j DNAT --to 10.xxx.xxx.28
iptables -t nat -A POSTROUTING -p tcp -s 10.xxx.xxx.28 --sport 1723 -j SNAT --to 189.47.xxx.xxx
iptables -t nat -A PREROUTING -d 189.47.xxx.xxx -j DNAT --to 10.xxx.xxx.28
iptables -t nat -A POSTROUTING -s 10.xxx.xxx.28 -j SNAT --to 189.47.xxx.xxx
iptables -A INPUT -p tcp --dport 1723 -j ACCEPT
iptables -A INPUT -p 47 -j ACCEPT
iptables -A FORWARD -i eth2 -s 0/0 -j ACCEPT

OBS: eth2 = minha porta LAN

Agora preciso montar essas regras acima de forma que todos usuários da minha rede consigam acessar a VPN na mesma porta.
Alguma luz galera da VoL ??

Abraços

pardalz
(usa Debian)

Enviado em 10/09/2010 - 09:20h

olá amigo, vc conseguiu alguma solução para o seu problema, pois eu usei essas mesmas regras com os modulos e mesmo assim nao funciona, fica parando na autenticação, da o tal do erro 806

fs.schmidt
(usa CentOS)

Enviado em 10/09/2010 - 15:59h

Realmente o erro 806 se refere a negociação do protocolo GRE (47) por alguma das pontas, pode ser tanto o servidor como o cliente. Por exemplo, se a conexão de internet não estiver diretamente e passar por algum roteador que não suporte o protocolo irá causar esse erro. Eu já tive problemas demais com PPTP, tanto para soluções como cliente e como servidor, hoje utilizo ou ipsec ou openvpn para soluções site-to-site ou site-to-gateway.

Existem outros fatores que podem causar esse erro eu ja tive problema com ICMP, as vezes se o icmp está bloqueado entre o servidor e cliente isso ocorre.

Se puder postar o log do ero no servidor no momento da conexão irá facilitar muito.

pardalz
(usa Debian)

Enviado em 13/09/2010 - 13:22h

fs.schmidt obrigado pela resposta, fico muito grato mesmo.
me diga qual o procedimento para postar o log que vc precisa, pois nunca precisei de tal informação, costumo utilizar tail -f /var/logs/squid/access.log para ver logs do squid somente.. porem nunca fiz para vpn.

mais uma vez fico grato pela atenção

fs.schmidt
(usa CentOS)

Enviado em 13/09/2010 - 13:45h

Amigo, não sei como está a configuração, o log provavelmente deve estar no /var/log/messages mesmo, ou pode estar em algum logo especifico no /var/log.

Como está a conexão à internet no seu servidor? Está direta no linux ou tem algum roteador na frente?

pardalz
(usa Debian)

Enviado em 14/09/2010 - 09:26h

tem um router voip, mas tem vpn passtrough.
nao consegui achar em nenhum dos logs do /var/log...
mais alguma ideia?

fs.schmidt
(usa CentOS)

Enviado em 14/09/2010 - 10:33h

Qual é a marca e modelo desse router voip? Talvez o recurso que voce falou seja apenas para IPsec, e nao para PPTP.

Acho mais viavel voce utilizar o openvpn para essa aplicação, você terá menos problemas tanto no servidor como nos clientes, além do PPTP ser muito inseguro.