Установка VPN сервера mpd5 + сжатие и шифрование

Автор: Cancer.

На днях появилась задача в Офисе настроить VPN сервер. Выбрал что то по проще а именно mpd.

Задачи:
Удаленно иметь доступ к сети Офиса (192.168.10.0/24), для того что бы бухгалтер, менеджер, я и другие сотрудники с ноутбука и не только с ноута, с ОСями Linux, FreeBSD, Windows XP, Windows Vista, Windows 7 могли бы подключаться к корпоративной сети и иметь доступ к программам 1С Торговля, Бухгалтерия по RDP, так же к файлопомойке и многому другому, ну в общем ко всей корпоративной сети.
Так как тарифный план нашего провайдера ЮТК дороговат и не анлим, понадобилось сжатие трафика, ну и конечно же шифрование.

Итого: нужен доступ к корпоративной сети, сжатием трафика и шифрование.

Конфигурация сервера:
Celeron-1700Hz,DDR-256Mb,HDD-20Gb=> 2 сетевых интерфейса rl0 и rl1
rl0 192.168.10.11 (в локалку смотрит)
rl1 192.168.1.11  (в модем смотрит)
FreeBSD 6.2
Получается так INTERNET-----(Модем)---rl1(Server_VPN)rl0-----LAN



Первым делом убеждаемся что у нас в rc.conf включено


//> cat /etc/rc.conf | grep gateway gateway_enable="YES"

если нету, то добавляем в /etc/rc.conf


//> echo 'gateway_enable="YES"' >> /etc/rc.conf

и даем команду (перезапуск сетевых служб)


//> /etc/netstart

Ставим VPN сервер MPD5




Далее устанавливаем MPD


//> cd /usr/ports/net/mpd5 /usr/ports/net/mpd5/> make config

+--------------------------------------------------------------------+ | Options for mpd 5.4 | | +----------------------------------------------------------------+ | | | [ ] NG_CAR Use ng_car kernel module from port (< 7.0 only)| | | | [ ] NG_IPACCT Use ng_ipacct kernel module from port | | | | | | | | | | | | | | | | | | +-+------v(+)------------------------------------------------------+-+ | [ OK ] Cancel | +--------------------------------------------------------------------+

/usr/ports/net/mpd5/> make install clean

//> cd /usr/local/etc/mpd5


Создаем конфиг VPN сервера mpd.conf и файл где храниться будут логины и пароли mpd.secret


/usr/local/etc/mpd5/> touch mpd.conf /usr/local/etc/mpd5/> touch mpd.secret


Далее даем права тольно на чтение -r--r----- для повышения безопасности.


//> chmod 440 /usr/local/etc/mpd5/mpd.conf //> chmod 440 /usr/local/etc/mpd5/mpd.secret



И рисуем конфиг нашего VPN сервера


//> ee /usr/local/etc/mpd5/mpd.conf

################################################################# # # MPD configuration file # # This file defines the configuration for mpd: what the # bundles are, what the links are in those bundles, how # the interface should be configured, various PPP parameters, # etc. It contains commands just as you would type them # in at the console. Lines without padding are labels. Lines # starting with a "#" are comments. # # $Id: mpd.conf.sample,v 1.46 2009/04/29 11:04:17 amotin Exp $ # ################################################################# startup: # Задаем пароль для доступа в web-intarface # т.е меняем password на свой пароль set user admin password admin # set user password cancer # configure the console set console self 127.0.0.1 5005 set console open # configure the web server set web self 0.0.0.0 5006 set web open default: load pptp_server pptp_server: # Определяем диапазон выдаваемых IP удалённым клиентам # у меня с ...200 по ...220 set ippool add poolsat 192.168.10.200 192.168.10.220 create bundle template B set iface enable proxy-arp set iface idle 0 set iface enable tcpmssfix set ipcp yes vjcomp # IP адрес сервера, который мы будем показывать клиентам # в моем случае 192.168.10.254 (можно не реальный IP) set ipcp ranges 192.168.10.254/32 ippool poolsat # Здесь указываем DNS сервер set ipcp dns 192.168.10.1 # Здесь указываем Wins сервер set ipcp nbns 192.168.10.1 # Enable Microsoft Point-to-Point encryption (MPPE) set bundle enable compression set ccp yes mppc set mppc yes compress e40 e56 e128 stateless # Create clonable link template named L create link template L pptp # Set bundle template to use set link action bundle B # Multilink adds some overhead, but gives full 1500 MTU set link enable multilink set link yes acfcomp protocomp set link no pap chap eap set link enable chap set link enable chap-msv1 set link enable chap-msv2 # We reducing link mtu to avoid GRE packet fragmentation. set link mtu 1460 set link keep-alive 10 60 # Configure PPTP and open link # Тут указываем IP сетевой карты или имя интерфейса (rl1) смотрящего в интернет set pptp self rl1 # Allow to accept calls set link enable incoming



Записываем в файл логины и пароли для доступа к VPN серверу


//> ee /usr/local/etc/mpd5/mpd.secret

################################################################# # # MPD secrets file # # This file contains login, password pairs, called "secrets". # Entries are used for authentication in either or both directions, # as well as telnet console login. # # For example, to use the "MyLogin" secret, use this command: # # set bundle authname MyLogin # # Each entry may have a third field containing an IP address range # specifying the allowable address assignments for that # peer. # # NOTE: this file should not be readable by anyone except root! # # $Id: mpd.secret.sample,v 1.2 2007/01/27 13:28:44 amotin Exp $ # ################################################################# #Пользователь Пароль Выдаваемый пользователю IP user1 "password" 192.168.10.198 user2 "password2" 192.168.10.199 # Этим 2 пользователям выдаются динамический IP адреса с ...200 по ...220 # т.е те которые в момент подключения не заняты user3 "password3" * user4 "password4" *



Добавим в строки в syslog.conf для того что бы можно было смотреть логи нашего сервера


//> ee /etc/syslog.conf

!mpd *.* /var/log/mpd.log

Создаем файл где куда будут записывать логи mpd


//> touch /var/log/mpd.log

Даем права только root для чтения и записи в mpd.log


//> chmod 600 /var/log/mpd.log

Перезапускаем syslogd


//> /etc/rc.d/syslogd reload


Добавляем mpd в автозапуск


//> echo 'mpd_enable="YES"' >> /etc/rc.conf


Запускаем MPD5


//> /usr/local/etc/rc.d/mpd5 start Starting mpd5. //>

Смотрим в процессы


//> ps axw | grep mpd

14405 ?? Is 0:00,02 /usr/local/sbin/mpd5 -p /var/run/mpd5.pid -b




Если стоит на сервере фаерволл pf или еще какой, нужно открыть порт 1723


pass in quick on $ext_if proto tcp from any to self port 1723


Сервер уже должен работать, только пока без сжатия








Настраиваем сжатие



Качаем mppc-1.0.tgz и кладем его в /usr/home/



Модули компрессии MPPC файл скачан размер размещён примечание 3223 4.8kb 2009-01-28 Модули компрессии mppc-1.0.tgz



Распаковываем содержимое mppc-1.0.tgz и сразу же кладем сюда /usr/src/sys/net/


/usr/home/> tar -xvf mppc-1.0.tgz -C /usr/src/sys/net/



Правим Makefile для того что бы активировать сжатие


//> ee /usr/src/sys/modules/netgraph/mppc/Makefile # поменять NETGRAPH_MPPC_COMPRESSION?= 0 # на NETGRAPH_MPPC_COMPRESSION?= 1

Переходим в директорию


//> cd /usr/src/sys/modules/netgraph/mppc

И устанавливаем


/usr/src/sys/modules/netgraph/mppc/> make && make install && make clean




Далее выполняем это действие для тех у кого FreeBSD 6.2 или менее, для тех у кого FreeBSD 6.3 и выше, пропускает только это действие, так как с 6.3 поддержка уже включена.

Добавляем соответствующие строки.


//> ee /usr/src/sys/conf/files

net/mppcc.c optional netgraph_mppc_compression net/mppcd.c optional netgraph_mppc_compression

//> rehash

Собираем ядро с поддержкой сжатия




Теперь нужно собрать ядро с поддержкой сжатия MPPC
Подробнее от том как собирать ядро и что оно о себе представляет тут или читаем handbook

Добавляем эти опции в ядро


//> ee /usr/src/sys/i386/conf/GENERIC

options NETGRAPH options NETGRAPH_ETHER options NETGRAPH_SOCKET options NETGRAPH_TEE options NETGRAPH_MPPC_ENCRYPTION options NETGRAPH_MPPC_COMPRESSION options NETGRAPH_BPF options NETGRAPH_IFACE options NETGRAPH_KSOCKET options NETGRAPH_PPP options NETGRAPH_PPTPGRE options NETGRAPH_TCPMSS options NETGRAPH_VJC options NETGRAPH_ONE2MANY options NETGRAPH_RFC1490 options NETGRAPH_TEE options NETGRAPH_TTY options NETGRAPH_UI

//> cd /usr/src/

И собираем ядро


/usr/src/> make buildkernel KERNCONF=GENERIC && \ make installkernel KERNCONF=GENERIC && shutdown -r now


После сборки ядра сервер перезагрузится.После перезагрузки сжатие работает =), остается настроить клиента и подключаться.






Настраиваем клиента на Windows

Шаг 1

  Этот информационный блок появился по той простой причине, что многие считают нормальным, брать чужую информацию не уведомляя автора (что не так страшно), и не оставляя линк на оригинал и автора — что более существенно. Я не против распространения информации — только за. Только условие простое — извольте подписывать автора, и оставлять линк на оригинальную страницу в виде прямой, активной, нескриптовой, незакрытой от индексирования, и не запрещенной для следования роботов ссылки.
  Если соизволите поставить автора в известность — то вообще почёт вам и уважение.

© lissyara 2006-10-24 08:47 MSK