https://www.opennet.ru/openforum/vsluhforumID1/96393.html Господа, бьюсь уже 3-юю неделю.<br>Суть проблемы:<br>есть предприятие, к которому нужно коннектиться по VPN+RDP.<br>схема:<br>Интернет -&gt; FreeBSD 10.2 (Шлюз, Sendmail) -&gt; LAN предприятия -&gt; Win2k3 (PPTP+DHCP+RDP)<br>На данный момент стоит фря 8.2, на ней, вышеуказанная схема, работает через IPFW.<br><br>Стала задача поставить новый/более "мощный" в смысле конфигурации сервер, на который накатил FreeBSD 10.2, поднял всё необходимое, за исключением возможности подключения к LAN из вне.<br><br>Первую неделю воевал с IPFW+NAT - тишина.<br>########################################################<br>rc.conf<br>########################################################<br>#Внешний интерфейс<br>ifconfig_re0="inet 10.10.13.196 netmask 255.255.255.0"<br>#Локальный интерфейс<br>ifconfig_rl0="inet 192.168.1.110 netmask 255.255.255.0"<br>firewall_logif="YES"<br>defaultrouter="10.10.13.1"<br>sshd_enable="YES"<br><br>firewall_enable="YES"<br>firewall_nat_enable="YES"<br>firewall_script="/etc/ipfw.rules"<br>firewall_type="Open"<br>firewall_quiet="YES"<br>firewall_logging="NO"<br> https://www.opennet.ru/openforum/vsluhforumID1/96393.html#17 Tue, 15 Dec 2015 10:46:49 GMT по ssh забыл нужно после запрещающих правил на которых ставится бан, естественно добавить<br># SSH for localhost allow<br> ${fwcmd} add allow tcp from any to me 22<br> https://www.opennet.ru/openforum/vsluhforumID1/96393.html#16 Tue, 15 Dec 2015 10:34:34 GMT &gt;[оверквотинг удален]<br>&gt; flags S/SA keep state <br>&gt; pass in on $ext_if proto tcp from any to $ext_if port $udp_services <br>&gt; keep state <br>&gt; pass out on $ext_if proto tcp all modulate state flags S/SA <br>&gt; pass out on $ext_if proto {tcp, udp, icmp } all keep state <br>&gt; pass on $int_if all <br>&gt; ######################################################## <br>&gt; Реакции тоже ни какой - нет подключения и хоть ты кол на <br>&gt; голове чеши, но фря не пробрасывает в сеть PPTP соединение.<br>&gt; Помогите разобраться.<br><br>У меня вся GRE IPFW+NAT связка работала так, нужно сделать второй нат<br>NAT VPN Out<br> ${fwcmd} nat 10 config if ${eint}<br> ${fwcmd} add nat 10 gre from any to any<br> ${fwcmd} add nat 10 tcp from ${ipv} to any dst-port pptp,1396,53,21<br> ${fwcmd} add nat 10 tcp from any pptp,1396,53,21 to any<br>где {ipv} список ip разрешённых для работы с внешним vpn сервером. <br>natd не нужен, для работы по 22 порту достаточно<br># rulezz for sshit table<br> ${fwcmd} add deny tcp from table\(0\) to me dst-port 22<br><br><br><br> https://www.opennet.ru/openforum/vsluhforumID1/96393.html#15 Tue, 15 Dec 2015 10:10:48 GMT &gt; А подключаться по vpn к шлюзу не хочешь?<br>&gt; А через впн тебе и rdp к w2003 пожалуйста <br><br>Планирую так сделать, но это только после НГ, в виду независящих от меня причин.<br>А в данный момент необходим именно проброс 1723 и GRE.<br>В настоящее время через шлюз проходит 1723 до внутреннего интерфейса, а GRE молчит.<br>Если же из локалки через шлюз нырять наружу, то и 1723 и GRE проходят без проблем.<br><br>Сейчас перерыл кучу всякого, на предмет проброса pptp и gre, но результат всё тот же.<br>К сожалению инфы по FreeBSD 10.2 крайне мало.<br> https://www.opennet.ru/openforum/vsluhforumID1/96393.html#14 Tue, 15 Dec 2015 05:35:55 GMT &gt;&gt; Провайдер точно пропускает?<br>&gt; Да, пускает. Грешу на w2k3. Но найти там разрешение, либо запрет на <br>&gt; конкретный хост или IP пока не смог.<br><br>А подключаться по vpn к шлюзу не хочешь?<br>А через впн тебе и rdp к w2003 пожалуйста<br> https://www.opennet.ru/openforum/vsluhforumID1/96393.html#13 Mon, 14 Dec 2015 12:11:33 GMT &gt; Провайдер точно пропускает?<br><br>Да, пускает. Грешу на w2k3. Но найти там разрешение, либо запрет на конкретный хост или IP пока не смог.<br> https://www.opennet.ru/openforum/vsluhforumID1/96393.html#12 Mon, 14 Dec 2015 10:47:35 GMT &gt;[оверквотинг удален]<br>&gt; 0, length 0 <br>&gt; при попытке подключения по pptp с удалённого ip на внешний, показывает, что <br>&gt; сам порт 1723 пробрасывается, но соединения с VPN сервером на Win2k3 <br>&gt; нет(( <br>&gt; 15:57:22.900963 IP 37.204.151.153.5636 &gt; 192.168.1.10.1723: Flags [S], seq 550181637, <br>&gt; win 8192, options [mss 1460,nop,wscale 2,nop,nop,sackOK], length 0 <br>&gt; 15:57:25.896837 IP 37.204.151.153.5636 &gt; 192.168.1.10.1723: Flags [S], seq 550181637, <br>&gt; win 8192, options [mss 1460,nop,wscale 2,nop,nop,sackOK], length 0 <br>&gt; 15:57:31.901522 IP 37.204.151.153.5636 &gt; 192.168.1.10.1723: Flags [S], seq 550181637, <br>&gt; win 8192, options [mss 1460,nop,nop,sackOK], length 0 <br><br>Провайдер точно пропускает?<br> https://www.opennet.ru/openforum/vsluhforumID1/96393.html#11 Sun, 13 Dec 2015 10:40:06 GMT И эти люди еще говорят, что ipfw более удобный и логичный, чем iptables :)<br><br>На CentOS достаточно загрузить следующие модули - nf_nat_pptp, nf_conntrack_pptp, nf_nat_proto_gre nf_conntrack_proto_gre<br> https://www.opennet.ru/openforum/vsluhforumID1/96393.html#10 Sat, 12 Dec 2015 12:49:07 GMT <br>&gt; firewall_nat_enable="YES" <br>&gt; firewall_script="/etc/ipfw.rules" <br>&gt; firewall_type="Open" <br><br>где раздел Open в скрипте?<br><br>&gt; natd_program="/sbin/natd" <br>&gt; natd_enable="YES" <br><br>Это к чему если ранее включен firewall_nat_enable="YES" <br><br>&gt;[оверквотинг удален]<br>&gt; $fwcmd add 3510 allow all from any to any via rl0 <br>&gt; ######################################################## <br>&gt; ######################################################## <br>&gt; natd.conf <br>&gt; ######################################################## <br>&gt; redirect_proto gre 192.168.1.10 <br>&gt; redirect_port tcp 192.168.1.10:1723 1723 <br>&gt; redirect_port tcp 10.10.13.196:25 2525 <br>&gt; ######################################################## <br>&gt; ######################################################## <br><br> https://www.opennet.ru/openforum/vsluhforumID1/96393.html#9 Fri, 11 Dec 2015 11:47:49 GMT &gt; глянь так же: <br>&gt; http://startext.tomsk.ru/node/125 <br>&gt; http://shurik.kiev.ua/blog/index.php?/archives/9-FreeBSD_i_GRE.html <br>&gt; http://it-e.ru/blogs/administrirovanie/probros-trafika-pptp-cherez-ipfw-kernel-nat <br><br>К сожалению ни один из вариантов не сработал (<br>tpc 1723 передаётся, а вот gre ни в какую не хочет.<br>