Здравствуйте,

Необходимо настроить vpn-сервер для доступа к корпоративной сети извне.
Поднял на шлюзе mpd5, прикрутил авторизацию через AD, клиентам выдаются ip из той же сети, что и корпоративная (10.0.0.0/8). Соединение проходит успешно, однако клиентская машина не может пропинговать ничего, кроме самого впн-сервера. Более того, сам впн-сервер клиентскую машину тоже не пингует.
Фаерволл - ничего не блокирует (allow ip from any to any).

Если клиенту выдавать ip из другой сети и на клиенте прописывать маршрут до корпоративной сети через впн-сервер - все работает: все пингуется, самба-шары открываются, рдп/ссш работает. Но такой вариант меня не устраивает, т.к. нужны дополнительные (и непонятные для простых юзверей) действия на клиентах. (после длительного гугления я так понял что по pptp нельзя передать маршрут на клиента)

Помогите решить пробму.

конфиг мпд:

startup:
default:
    load pptp_server
pptp_server:
    set ippool add pool1 10.0.0.200 10.0.0.230
    create bundle template B
    set iface enable proxy-arp
    set iface idle 1800
    set iface enable tcpmssfix
    set ipcp yes vjcomp
    set ipcp ranges 10.0.10.1/32 ippool pool1
    set ipcp dns 10.0.10.3
    set ipcp nbns 10.0.10.3
    set bundle enable compression
    set ccp yes mppc
    set mppc yes e40
    set mppc yes e128
    set mppc yes stateless
    create link template L pptp
    set link action bundle B
    set link enable multilink
    set link yes acfcomp protocomp
    set link no pap chap
    set link enable chap
    load radius
    set link keep-alive 10 60
    set link mtu 1460
    set pptp self 192.168.1.6
    set link enable incoming
radius:
    set radius server dc1.domain.ru passwd 1812 1813
    set radius retries 3
    set radius timeout 3
    set radius me 10.0.10.1
    set auth acct-update 300
    set auth enable radius-auth
    set auth enable radius-acct
    set radius enable message-authentic

• vpn-сервер на mpd5,mr_gfd, 00:50 , 25-Авг-10
  • vpn-сервер на mpd5,PavelR, 08:10 , 25-Авг-10
    • vpn-сервер на mpd5,PavelR, 12:06 , 25-Авг-10
      • vpn-сервер на mpd5,demchenko, 10:44 , 26-Авг-10

if_bridge в помощь.
с ng* и lan0 в авробридже.

echo 'if_bridge_load="YES"' >> /boot/loader.conf

[23:34:35][user@gate][/home/user]>cat /etc/rc.conf | grep bri
cloned_interfaces="bridge0"
ifconfig_bridge0="192.168.0.56/24"
autobridge_interfaces="bridge0"        # List of bridges to check
autobridge_bridge0="ng* lan0"

[23:34:49][user@gate][/home/user]>cat /etc/sysctl.conf  | grep bri
sysctl net.link.bridge.pfil_member=0
sysctl net.link.bridge.pfil_bridge=0

>[оверквотинг удален]
>[23:34:35][user@gate][/home/user]>cat /etc/rc.conf | grep bri
>cloned_interfaces="bridge0"
>ifconfig_bridge0="192.168.0.56/24"
>autobridge_interfaces="bridge0"        # List of bridges
>to check
>autobridge_bridge0="ng* lan0"
>
>[23:34:49][user@gate][/home/user]>cat /etc/sysctl.conf  | grep bri
>sysctl net.link.bridge.pfil_member=0
>sysctl net.link.bridge.pfil_bridge=0

=======
Поднял на шлюзе mpd5, прикрутил авторизацию через AD, клиентам выдаются ip из той же сети, что и корпоративная (10.0.0.0/8). Соединение проходит успешно, однако клиентская машина не может пропинговать ничего, кроме самого впн-сервера. Более того, сам впн-сервер клиентскую машину тоже не пингует.
Фаерволл - ничего не блокирует (allow ip from any to any).
========

Если я всё правильно помню (смотреть и проверять лень) - то MPD5 сам делает proxyARP (регистрирует выданные клиенту IP на свой мак-адрес) и никакой "ручной бридж" создавать не надо. Возможно это включается отдельной опцией. Но, у меня "почти дефолтный" конфиг.

>Более того, сам впн-сервер клиентскую машину тоже не пингует.

По идее, пинговать должен.

Вот как это выглядит в arp -an

? (10.60.0.x11) at 00:18:f3:xx:xx:x on sk0 permanent published (proxy only) [ethernet]
? (10.60.0.x13) at 00:18:f3:xx:xx:xx on sk0 permanent published (proxy only) [ethernet]
? (10.60.0.x14) at 00:18:f3:xx:xx:xx on sk0 permanent published (proxy only) [ethernet]

>
>Вот как это выглядит в arp -an
>
>? (10.60.0.x11) at 00:18:f3:xx:xx:x on sk0 permanent published (proxy only) [ethernet]
>? (10.60.0.x13) at 00:18:f3:xx:xx:xx on sk0 permanent published (proxy only) [ethernet]
>? (10.60.0.x14) at 00:18:f3:xx:xx:xx on sk0 permanent published (proxy only) [ethernet]

вот как раз этого и не происходит.
внимательно просмотрел лог и увидел такое: "system: command "/usr/sbin/arp" returned 256"
гугл выдает что это баг ядра в 8.0-Release, чтож, придется обновляться.

всем спасибо за подсказки :)